แคมเปญมัลแวร์ที่รู้จักในชื่อ INJ3CTOR3 กำลังมุ่งเป้าไปที่เซิร์ฟเวอร์ FreePBX และเป้าหมายที่รายงานไว้ไม่ใช่เพียงการบุกรุกครั้งเดียว ตามรายงานข่าว มัลแวร์นี้ขโมยรหัสผ่าน SIP ข้อมูลรับรองฐานข้อมูล และความลับอื่น ๆ เพื่อให้ผู้โจมตีสามารถก่ออาชญากรรมการฉ้อโกงทางโทรศัพท์อย่างต่อเนื่องได้แม้หลังจากผู้ดูแลระบบสร้างเซิร์ฟเวอร์ใหม่ สำหรับผู้ที่ดูแลระบบ ความปลอดภัยของเซิร์ฟเวอร์ FreePBX ไม่ว่าจะในสำนักงานขนาดเล็กหรือห้องแล็บที่บ้าน รายละเอียดนี้เปลี่ยนวิธีที่ควรจะทำความสะอาดระบบ
บทความต้นฉบับนั้นสั้น ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่ระบุไว้และอธิบายกลไกทั่วไปว่าทำไมรายละเอียดเหล่านี้จึงสำคัญ
สิ่งที่มัลแวร์ INJ3CTOR3 ทำตามรายงาน
ตามรายงาน INJ3CTOR3 มุ่งเป้าไปที่ FreePBX ซึ่งเป็นอินเทอร์เฟซเว็บโอเพนซอร์สที่ใช้กันอย่างแพร่หลายสำหรับจัดการระบบโทรศัพท์ที่ใช้ Asterisk เมื่อเข้าสู่เซิร์ฟเวอร์ได้แล้ว มัลแวร์จะขโมยข้อมูลสามประเภท:
- รหัสผ่าน SIP ซึ่งใช้ยืนยันตัวตนของส่วนขยายโทรศัพท์และทรังก์
- ข้อมูลรับรองฐานข้อมูล
- ความลับอื่น ๆ ที่จัดเก็บไว้ในระบบ
ประเด็นสำคัญคือการคงอยู่ถาวร รายงานระบุว่าการขโมยข้อมูลนี้ถูกออกแบบมาเพื่อรักษาการฉ้อโกงทางโทรศัพท์ให้ดำเนินต่อไปได้หลังการสร้างระบบใหม่ กล่าวอีกนัยหนึ่ง การล้างและติดตั้ง PBX ใหม่อาจไม่ยุติปัญหาได้ หากผู้โจมตียังคงมีข้อมูลรับรองที่ถูกต้องซึ่งยังใช้งานได้หลังจากนั้น
ทำไมข้อมูลรับรอง SIP ที่ถูกขโมยจึงเป็นเชื้อเพลิงของการฉ้อโกงทางโทรศัพท์
ข้อมูลรับรอง SIP เป็นเสมือนกุญแจที่อนุญาตให้อุปกรณ์หรือบัญชีหนึ่ง ๆ วางสายผ่านระบบโทรศัพท์ของคุณหรือผู้ให้บริการต้นทางของคุณ หากผู้โจมตีมีข้อมูลนี้ พวกเขามักสามารถลงทะเบียนเป็นส่วนขยายหรือทรังก์ที่ถูกต้องจากที่ใดก็ได้ จากนั้นสายที่โทรออกจะดูเหมือนมาจากองค์กรของคุณ
นี่คือพื้นฐานของการฉ้อโกงค่าบริการโทรศัพท์ (toll fraud): มีการวางสายไปยังปลายทางที่คิดค่าบริการพรีเมียมหรือระหว่างประเทศ และเหยื่อจะถูกเรียกเก็บเงิน บทความกล่าวถึงข้อมูลที่ถูกขโมยว่าเป็นวิธีที่จะทำให้การฉ้อโกงดำเนินต่อไปได้ ซึ่งบ่งชี้ว่าข้อมูลรับรองคือเป้าหมายที่แท้จริง ไม่ใช่ตัวเซิร์ฟเวอร์เอง
ข้อมูลรับรองฐานข้อมูลเพิ่มความเสี่ยงอีกชั้นหนึ่ง ฐานข้อมูล PBX สามารถเก็บรายละเอียดการกำหนดค่า ข้อมูลส่วนขยาย และข้อมูลอื่น ๆ ที่ช่วยให้ผู้โจมตีรักษาการเข้าถึงหรือเคลื่อนไหวต่อไปได้ ให้ถือว่าทุกสิ่งทุกอย่างที่จัดเก็บอยู่ในระบบที่ถูกบุกรุกนั้นถูกเปิดเผยแล้ว
ทำไมการสร้างระบบใหม่เพียงอย่างเดียวอาจไม่เพียงพอ
ผู้ดูแลระบบหลายคนสันนิษฐานอย่างสมเหตุสมผลว่าการติดตั้งใหม่ที่สะอาดจะกำจัดผู้บุกรุกออกไป นั่นเป็นความจริงสำหรับมัลแวร์บนเครื่อง แต่ไม่ได้ย้อนกลับการขโมยความลับ หากรหัสผ่าน SIP เดิม รหัสล็อกอินทรังก์ หรือรหัสผ่านฐานข้อมูลถูกกู้คืนจากแบ็กอัปหรือพิมพ์กลับเข้าไปใหม่ ผู้โจมตีก็สามารถเดินกลับเข้ามาได้เลยด้วยข้อมูลรับรองที่ถูกต้อง
รูปแบบนี้สะท้อนเหตุการณ์อื่น ๆ ที่ข้อมูลล็อกอินที่ถูกขโมยมีอายุยืนยาวกว่าการบุกรุกครั้งแรก เช่น crate Rust arrayref ที่ถูกวางยาพิษ ซึ่งถูกใช้เพื่อเก็บเกี่ยวข้อมูลรับรอง การขโมยข้อมูลรับรองมักเป็นส่วนที่คงทนของการโจมตี และการทำความสะอาดซอฟต์แวร์เป็นเพียงครึ่งหนึ่งของการตอบสนอง ในทำนองเดียวกัน แพลตฟอร์มที่หันสู่อินเทอร์เน็ตและไม่ได้แพตช์คือจุดเข้าที่เกิดซ้ำ ดังที่เห็นเมื่อ สายลับรัสเซียใช้ช่องโหว่ゼero-day ของ Zimbra โจมตีเซิร์ฟเวอร์อีเมล
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณดูแล FreePBX ให้ถือว่าการบุกรุกที่ต้องสงสัยหมายความว่าทุกความลับบนเครื่องนั้นถูกเผาไปแล้ว ขั้นตอนปฏิบัติได้แก่:
- หมุนเวียนทุกอย่างหลังการสร้างใหม่ เปลี่ยนรหัสผ่านส่วนขยาย SIP ทั้งหมด ข้อมูลรับรองทรังก์กับผู้ให้บริการของคุณ รหัสผ่านฐานข้อมูล และข้อมูลล็อกอินของผู้ดูแลระบบ ทำสิ่งนี้กับเซิร์ฟเวอร์ใหม่ ไม่ใช่ก่อนหน้า และหลีกเลี่ยงการใช้ค่าเดิมซ้ำ
- สร้างระบบใหม่ให้สะอาด ติดตั้งจากสื่อที่เชื่อถือได้แทนการกู้คืนอิมเมจระบบเต็มรูปแบบที่อาจมีมัลแวร์ติดมาด้วย ตรวจสอบการกำหนดค่าที่กู้คืนมาสำหรับรายการที่ไม่คุ้นเคย
- แพตช์ FreePBX และโมดูลของมัน อัปเดตแพลตฟอร์มและระบบปฏิบัติการให้เป็นปัจจุบัน เนื่องจากอินเทอร์เฟซการจัดการที่เปิดเผยเป็นเป้าหมายทั่วไป
- จำกัดการเข้าถึงของผู้ดูแลระบบ อย่าทิ้งอินเทอร์เฟซเว็บของ FreePBX ไว้เปิดสู่อินเทอร์เน็ต จำกัดให้เข้าถึงผ่าน VPN เครือข่ายการจัดการ หรือที่อยู่ IP ที่เชื่อถือได้เฉพาะเจาะจง
- ใช้รหัสผ่าน SIP ที่แข็งแกร่งและไม่ซ้ำ รหัสผ่านแบบสุ่มยาวสำหรับแต่ละส่วนขยายทำให้การเดาและการใช้ซ้ำไม่มีประโยชน์ต่อผู้โจมตีมากนัก
- ตั้งวงเงินการใช้จ่ายและการแจ้งเตือนกับผู้ให้บริการ SIP ของคุณ การจำกัดปริมาณการโทร ปลายทางระหว่างประเทศ และการใช้จ่ายรายวันสามารถหยุดการฉ้อโกงไม่ให้กลายเป็นบิลก้อนโต และการแจ้งเตือนช่วยให้คุณสังเกตเห็นได้ตั้งแต่เนิ่น ๆ
- ตรวจสอบบันทึกการโทร มองหาการโทรในเวลาที่ผิดปกติ ปลายทางที่ไม่คุ้นเคย หรือส่วนขยายที่คุณไม่รู้จัก
ธุรกิจขนาดเล็กและผู้ใช้ห้องแล็บที่บ้านมีความเสี่ยงเป็นพิเศษเพราะระบบโทรศัพท์มักถูกตั้งค่าครั้งเดียวแล้วถูกลืม PBX ที่นั่งเงียบ ๆ บน IP สาธารณะสามารถไม่ถูกตรวจสอบเป็นเวลาหลายเดือน ซึ่งเป็นสถานการณ์ที่ผู้ดำเนินการฉ้อโกงชื่นชอบพอดี
สุขอนามัยของเครือข่ายรอบ ๆ PBX ก็สำคัญเช่นกัน หากเราเตอร์ของคุณถูกแก้ไข การรับส่งข้อมูลและข้อมูลรับรองสามารถถูกเปลี่ยนเส้นทางได้ ดังที่อธิบายไว้ในรายงานเกี่ยวกับ แฮกเกอร์รัสเซียที่ hijack การตั้งค่า DNS ของเราเตอร์ที่บ้าน การอัปเดตเฟิร์มแวร์เราเตอร์และล็อกแผงผู้ดูแลระบบช่วยเสริมการป้องกันส่วนที่เหลือของคุณ
ประเด็นสำคัญ
รายงาน INJ3CTOR3 เป็นเครื่องเตือนใจว่าสำหรับการติดตั้ง FreePBX ข้อมูลรับรองมีค่าเท่ากับตัวเซิร์ฟเวอร์ การสร้างใหม่โดยไม่หมุนเวียนข้อมูลรับรองสามารถทิ้งประตูไว้เปิด เพื่อลดความเสี่ยงของคุณ:
- แพตช์ FreePBX และเก็บมันออกจากอินเทอร์เน็ตแบบเปิด
- หมุนเวียนทุกความลับของ SIP ฐานข้อมูล และผู้ดูแลระบบหลังการบุกรุกที่ต้องสงสัย
- สร้างใหม่จากแหล่งที่สะอาด
- ตั้งวงเงินการใช้จ่ายกับผู้ให้บริการและตรวจสอบบันทึกการโทร
หากคุณจัดการระบบโทรศัพท์ ให้ตรวจสอบการเปิดเผย FreePBX ของคุณวันนี้ อัปเดตซอฟต์แวร์ และเพิ่มการหมุนเวียนข้อมูลรับรองในรายการตรวจสอบเหตุการณ์ของคุณ งานเพียงไม่กี่ชั่วโมงตอนนี้สามารถป้องกันบิลโทรศัพท์ที่ไม่คาดคิดในภายหลังได้
