Кампанія шкідливого ПЗ під назвою INJ3CTOR3 полює на сервери FreePBX, і, згідно з повідомленнями, її мета — не просто один раз зламати систему. Як повідомляється в новинах, шкідливе ПЗ викрадає SIP-паролі, облікові дані баз даних та інші секрети, щоб зловмисники могли й надалі здійснювати телефонне шахрайство навіть після того, як адміністратор перебудує сервер. Для всіх, хто налаштовує безпеку сервера FreePBX, чи то в малому офісі, чи в домашній лабораторії, ця деталь змінює підхід до очищення.
Вихідна стаття коротка, тому цей пост обмежується тим, що в ній зазначено, та пояснює загальну механіку того, чому ці деталі важливі.
Що, за повідомленнями, робить шкідливе ПЗ INJ3CTOR3
Згідно зі звітом, INJ3CTOR3 націлене на FreePBX — широко використовуваний веб-інтерфейс з відкритим кодом для керування телефонними системами на базі Asterisk. Потрапивши на сервер, шкідливе ПЗ викрадає три види даних:
- SIP-паролі, які автентифікують телефонні розширення та транки
- Облікові дані баз даних
- Інші секрети, що зберігаються в системі
Ключовий момент — стійкість. У звіті зазначається, що крадіжка розроблена так, щоб підтримувати телефонне шахрайство після перебудов. Іншими словами, стирання та перевстановлення PBX може не вирішити проблему, якщо зловмисник уже володіє дійсними обліковими даними, які працюватимуть і після цього.
Чому викрадені SIP-облікові дані живлять телефонне шахрайство
SIP-облікові дані — це, по суті, ключ, який дозволяє пристрою або обліковому запису здійснювати дзвінки через вашу телефонну систему або вашого upstream-провайдера. Якщо зловмисник їх має, він часто може зареєструватися як легітимне розширення або транк з будь-якого місця. Тоді дзвінки виглядають так, ніби надходять від вашої організації.
Це основа toll-шахрайства: дзвінки здійснюються на номери з підвищеною тарифікацією або міжнародні напрямки, і рахунок виставляється жертві. У статті викрадені дані подаються як спосіб підтримувати це шахрайство, що свідчить про те, що справжньою здобиччю є облікові дані, а не сам сервер.
Облікові дані баз даних додають ще один рівень ризику. База даних PBX може містити деталі конфігурації, інформацію про розширення та інший матеріал, який допомагає зловмиснику підтримувати доступ або просуватися далі. Вважайте все, що зберігається на скомпрометованій системі, розкритим.
Чому самої лише перебудови може бути недостатньо
Багато адміністраторів цілком розумно припускають, що чисте перевстановлення видаляє зловмисника. Це правда щодо шкідливого ПЗ на машині, але це не скасовує крадіжку секретів. Якщо ті самі SIP-паролі, логіни транків або паролі баз даних відновлюються з резервної копії або вводяться знову, зловмисник може просто повернутися з дійсними обліковими даними.
Ця закономірність перегукується з іншими інцидентами, де викрадені логіни переживають початкову компрометацію, як-от отруєний Rust-крейт arrayref, який використовувався для збору облікових даних. Крадіжка облікових даних часто є довготривалою частиною атаки, і очищення програмного забезпечення — це лише половина реагування. Аналогічно, невиправлені платформи, доступні з інтернету, є постійною точкою входу, як це було видно, коли російські шпигуни використали zero-day у Zimbra проти поштових серверів.
Що це означає для вас
Якщо ви керуєте FreePBX, припускайте, що підозра на компрометацію означає, що кожен секрет на цій машині спалено. Практичні кроки включають:
- Змініть усе після перебудови. Змініть усі паролі SIP-розширень, облікові дані транків у вашого провайдера, паролі баз даних та адміністраторські логіни. Робіть це з новим сервером, а не до того, і уникайте повторного використання старих значень.
- Перебудуйте чисто. Встановлюйте з довірених носіїв, а не відновлюйте повний образ системи, який може нести шкідливе ПЗ. Перегляньте будь-яку відновлену конфігурацію на наявність незнайомих записів.
- Оновлюйте FreePBX та його модулі. Тримайте платформу та операційну систему актуальними, оскільки відкриті інтерфейси керування є поширеною ціллю.
- Обмежте адміністраторський доступ. Не залишайте веб-інтерфейс FreePBX відкритим в інтернет. Обмежте його VPN, мережею керування або конкретними довіреними IP-адресами.
- Використовуйте надійні унікальні SIP-паролі. Довгі випадкові паролі для кожного розширення роблять вгадування та повторне використання набагато менш корисними для зловмисника.
- Встановіть ліміти витрат і сповіщення у вашого SIP-провайдера. Обмеження на обсяг дзвінків, міжнародні напрямки та щоденні витрати можуть запобігти перетворенню шахрайства на величезний рахунок, а сповіщення допоможуть помітити його рано.
- Переглядайте журнали дзвінків. Шукайте дзвінки в дивні години, на незнайомі напрямки або з розширень, які ви не впізнаєте.
Малі підприємства та користувачі домашніх лабораторій особливо вразливі, оскільки телефонні системи часто налаштовуються один раз і потім забуваються. PBX, що тихо сидить на публічній IP-адресі, може залишатися без нагляду місяцями — саме така ситуація подобається операторам шахрайства.
Мережева гігієна навколо PBX також важлива. Якщо ваш маршрутизатор було змінено, трафік та облікові дані можуть бути перенаправлені, як описано в матеріалі про російських хакерів, які викрадають DNS-налаштування домашніх маршрутизаторів. Підтримання прошивки маршрутизатора в актуальному стані та захист адміністраторських панелей підтримують решту ваших засобів захисту.
Ключові висновки
Звіт про INJ3CTOR3 нагадує, що для розгортання FreePBX облікові дані так само цінні, як і сервер. Перебудова без зміни облікових даних може залишити двері відчиненими. Щоб зменшити ризик:
- Оновлюйте FreePBX і тримайте його поза відкритим інтернетом
- Змінюйте кожен SIP-, бази даних- та адміністраторський секрет після будь-якої підозри на компрометацію
- Перебудовуйте з чистих джерел
- Встановіть ліміти витрат у провайдера та моніторте записи дзвінків
Якщо ви керуєте телефонною системою, перевірте доступність вашого FreePBX сьогодні, оновіть програмне забезпечення та додайте зміну облікових даних до вашого контрольного списку інцидентів. Кілька годин роботи зараз можуть запобігти несподіваному телефонному рахунку пізніше.
