INJ3CTOR3 olarak bilinen bir kötü amaçlı yazılım kampanyası FreePBX sunucularının peşine düşüyor ve bildirilen amaç sadece bir kez içeri sızmak değil. Haber raporuna göre kötü amaçlı yazılım, SIP parolalarını, veritabanı kimlik bilgilerini ve diğer sırları çalarak saldırganların bir yönetici sunucuyu yeniden kurduktan sonra bile telefon dolandırıcılığı yapmaya devam etmesini sağlıyor. Küçük bir ofiste ya da ev laboratuvarında FreePBX sunucu güvenliği kurulumu işleten herkes için bu ayrıntı, temizliğin nasıl yapılması gerektiğini değiştiriyor.

Kaynak makale kısa, bu nedenle bu yazı yalnızca belirtilenlerle sınırlı kalıyor ve bu ayrıntıların neden önemli olduğuna dair genel mekaniği açıklıyor.

INJ3CTOR3 Kötü Amaçlı Yazılımının Bildirilen İşlevi

Rapora göre INJ3CTOR3, Asterisk tabanlı telefon sistemlerini yönetmek için yaygın olarak kullanılan açık kaynak web arayüzü FreePBX'i hedef alıyor. Kötü amaçlı yazılım bir sunucuya bulaştığında üç tür veriyi çalıyor:

  • Telefon uzantılarını ve trunk'ları kimlik doğrulayan SIP parolaları
  • Veritabanı kimlik bilgileri
  • Sistemde saklanan diğer sırlar

Kilit nokta kalıcılık. Rapor, hırsızlığın yeniden kurulumlardan sonra telefon dolandırıcılığını sürdürmek için tasarlandığını belirtiyor. Başka bir deyişle, saldırgan sonrasında hâlâ geçerli olan kimlik bilgilerine sahipse PBX'i silip yeniden kurmak sorunu sona erdirmeyebilir.

Çalınan SIP Kimlik Bilgileri Neden Telefon Dolandırıcılığını Körüklüyor

Bir SIP kimlik bilgisi, esasen bir cihazın veya hesabın telefon sisteminiz veya üst sağlayıcınız üzerinden arama yapmasını sağlayan anahtardır. Bir saldırgan buna sahipse, genellikle herhangi bir yerden meşru bir uzantı veya trunk olarak kayıt olabilir. Aramalar daha sonra kuruluşunuzdan geliyormuş gibi görünür.

Bu, ücretli dolandırıcılığın temelidir: aramalar premium ücretli veya uluslararası hedeflere yapılır ve fatura mağdura kesilir. Makale, çalınan verileri bu dolandırıcılığı sürdürmenin bir yolu olarak çerçeveliyor ve bu da kimlik bilgilerinin asıl ödül olduğunu, sunucunun kendisinin olmadığını ima ediyor.

Veritabanı kimlik bilgileri bir başka risk katmanı ekliyor. Bir PBX veritabanı yapılandırma ayrıntılarını, uzantı bilgilerini ve saldırganın erişimi sürdürmesine veya daha ileri gitmesine yardımcı olan diğer materyalleri barındırabilir. Ele geçirilmiş bir sistemde saklanan her şeyi açığa çıkmış olarak değerlendirin.

Neden Tek Başına Yeniden Kurulum Yeterli Olmayabilir

Birçok yönetici makul olarak temiz bir yeniden kurulumun davetsiz misafiri ortadan kaldıracağını varsayar. Bu, makinedeki kötü amaçlı yazılım için doğrudur, ancak sırların çalınmasını geri almaz. Aynı SIP parolaları, trunk giriş bilgileri veya veritabanı parolaları bir yedekten geri yüklenirse veya yeniden girilirse, saldırgan geçerli kimlik bilgileriyle doğrudan geri girebilir.

Bu örüntü, çalınan giriş bilgilerinin ilk ihlalin ötesinde yaşadığı diğer olayları yansıtıyor; örneğin kimlik bilgilerini toplamak için kullanılan zehirlenmiş arrayref Rust crate'i gibi. Kimlik bilgisi hırsızlığı genellikle bir saldırının kalıcı parçasıdır ve yazılım temizliği yanıtın yalnızca yarısıdır. Benzer şekilde, yamalanmamış internete açık platformlar tekrar eden bir giriş noktasıdır; Rus casusların e-posta sunucularına karşı bir Zimbra sıfır gün açığını kullandığı durumda görüldüğü gibi.

Bu Sizin İçin Ne Anlama Geliyor

FreePBX işletiyorsanız, şüpheli bir ihlalin o kutudaki her sırrın yanmış olduğu anlamına geldiğini varsayın. Pratik adımlar şunları içerir:

  1. Yeniden kurulumdan sonra her şeyi değiştirin. Tüm SIP uzantı parolalarını, sağlayıcınızla olan trunk kimlik bilgilerini, veritabanı parolalarını ve yönetici giriş bilgilerini değiştirin. Bunu yeni sunucuyla yapın, öncesinde değil ve eski değerleri yeniden kullanmaktan kaçının.
  2. Temiz bir şekilde yeniden kurun. Kötü amaçlı yazılımı taşıyabilecek tam bir sistem imajını geri yüklemek yerine güvenilir medyadan yükleyin. Geri yüklenen herhangi bir yapılandırmayı tanıdık olmayan girişler açısından gözden geçirin.
  3. FreePBX'i ve modüllerini yamalayın. Açıkta kalan yönetim arayüzleri yaygın bir hedef olduğundan platformu ve işletim sistemini güncel tutun.
  4. Yönetici erişimini kısıtlayın. FreePBX web arayüzünü internete açık bırakmayın. Bir VPN, bir yönetim ağı veya belirli güvenilir IP adresleriyle sınırlayın.
  5. Güçlü, benzersiz SIP parolaları kullanın. Her uzantı için uzun rastgele parolalar, tahmin etmeyi ve yeniden kullanımı bir saldırgan için çok daha az kullanışlı hale getirir.
  6. SIP sağlayıcınızla harcama limitleri ve uyarılar belirleyin. Arama hacmi, uluslararası hedefler ve günlük harcama üzerindeki üst sınırlar dolandırıcılığın büyük bir faturaya dönüşmesini durdurabilir ve uyarılar bunu erken fark etmenize yardımcı olur.
  7. Arama kayıtlarını gözden geçirin. Garip saatlerdeki aramaları, tanıdık olmayan hedefleri veya tanımadığınız uzantıları arayın.

Küçük işletmeler ve ev laboratuvarı kullanıcıları özellikle risk altındadır çünkü telefon sistemleri genellikle bir kez kurulur ve sonra unutulur. Genel bir IP üzerinde sessizce duran bir PBX aylarca izlenmeden kalabilir ki bu tam olarak dolandırıcılık operatörlerinin sevdiği durumdur.

PBX çevresindeki ağ hijyeni de önemlidir. Yönlendiriciniz kurcalanmışsa trafik ve kimlik bilgileri yönlendirilebilir; Rus hackerların ev yönlendirici DNS ayarlarını ele geçirmesi haberinde açıklandığı gibi. Yönlendirici ürün yazılımını güncel tutmak ve yönetici panellerini kilitlemek savunmalarınızın geri kalanını destekler.

Önemli Çıkarımlar

INJ3CTOR3 raporu, bir FreePBX kurulumu için kimlik bilgilerinin sunucu kadar değerli olduğunu hatırlatıyor. Kimlik bilgisi değişikliği olmadan yapılan bir yeniden kurulum kapıyı açık bırakabilir. Riskinizi azaltmak için:

  • FreePBX'i yamalayın ve açık internetten uzak tutun
  • Herhangi bir şüpheli ihlalden sonra her SIP, veritabanı ve yönetici sırrını değiştirin
  • Temiz kaynaklardan yeniden kurun
  • Sağlayıcı harcama üst sınırları belirleyin ve arama kayıtlarını izleyin

Bir telefon sistemi yönetiyorsanız, bugün FreePBX maruziyetinizi kontrol edin, yazılımı güncelleyin ve kimlik bilgisi değişikliğini olay kontrol listenize ekleyin. Şimdi birkaç saatlik çalışma, daha sonra sürpriz bir telefon faturasını önleyebilir.