Một chiến dịch mã độc có tên INJ3CTOR3 đang nhắm vào các máy chủ FreePBX, và mục tiêu được báo cáo không chỉ là xâm nhập một lần. Theo bản tin, mã độc này đánh cắp mật khẩu SIP, thông tin đăng nhập cơ sở dữ liệu và các bí mật khác để kẻ tấn công có thể tiếp tục thực hiện gian lận điện thoại ngay cả sau khi quản trị viên dựng lại máy chủ. Đối với bất kỳ ai đang vận hành một thiết lập bảo mật máy chủ FreePBX, dù trong văn phòng nhỏ hay phòng thí nghiệm tại nhà, chi tiết đó thay đổi cách thức cần thực hiện việc dọn dẹp.
Bài viết gốc khá ngắn gọn, nên bài đăng này chỉ bám sát những gì nó nêu và giải thích cơ chế chung về lý do tại sao những chi tiết này lại quan trọng.
Mã độc INJ3CTOR3 được báo cáo làm gì
Theo báo cáo, INJ3CTOR3 nhắm vào FreePBX, giao diện web mã nguồn mở được sử dụng rộng rãi để quản lý các hệ thống điện thoại dựa trên Asterisk. Khi đã vào được một máy chủ, mã độc đánh cắp ba loại dữ liệu:
- Mật khẩu SIP, dùng để xác thực các nhánh máy lẻ và trunk
- Thông tin đăng nhập cơ sở dữ liệu
- Các bí mật khác được lưu trên hệ thống
Điểm mấu chốt là khả năng tồn tại dai dẳng. Báo cáo cho biết việc đánh cắp được thiết kế để duy trì gian lận điện thoại sau khi dựng lại hệ thống. Nói cách khác, việc xóa và cài đặt lại PBX có thể không chấm dứt được vấn đề nếu kẻ tấn công đã nắm giữ thông tin đăng nhập hợp lệ vẫn còn hoạt động sau đó.
Tại sao thông tin đăng nhập SIP bị đánh cắp lại thúc đẩy gian lận điện thoại
Thông tin đăng nhập SIP về cơ bản là chìa khóa cho phép một thiết bị hoặc tài khoản thực hiện cuộc gọi qua hệ thống điện thoại của bạn hoặc nhà cung cấp đường trục của bạn. Nếu kẻ tấn công có được nó, chúng thường có thể đăng ký như một máy lẻ hoặc trunk hợp pháp từ bất kỳ đâu. Các cuộc gọi sau đó sẽ xuất hiện như thể đến từ tổ chức của bạn.
Đây là cơ sở của gian lận cước phí: các cuộc gọi được thực hiện đến các điểm đến quốc tế hoặc có cước phí cao, và nạn nhân phải trả tiền. Bài viết mô tả dữ liệu bị đánh cắp như một cách để duy trì gian lận đó, ngụ ý rằng thông tin đăng nhập mới là mục tiêu thực sự, không phải bản thân máy chủ.
Thông tin đăng nhập cơ sở dữ liệu thêm một lớp rủi ro khác. Cơ sở dữ liệu PBX có thể chứa chi tiết cấu hình, thông tin máy lẻ và các tài liệu khác giúp kẻ tấn công duy trì quyền truy cập hoặc di chuyển xa hơn. Hãy coi mọi thứ được lưu trên một hệ thống bị xâm phạm là đã bị lộ.
Tại sao chỉ dựng lại hệ thống có thể không đủ
Nhiều quản trị viên hợp lý cho rằng việc cài đặt lại sạch sẽ loại bỏ được kẻ xâm nhập. Điều đó đúng với mã độc trên máy, nhưng không hoàn tác được việc đánh cắp bí mật. Nếu cùng những mật khẩu SIP, thông tin đăng nhập trunk hoặc mật khẩu cơ sở dữ liệu được khôi phục từ bản sao lưu hoặc nhập lại, kẻ tấn công có thể bước thẳng trở lại với thông tin đăng nhập hợp lệ.
Mô thức này lặp lại các sự cố khác nơi thông tin đăng nhập bị đánh cắp tồn tại lâu hơn vụ xâm phạm ban đầu, chẳng hạn như crate Rust arrayref bị đầu độc được sử dụng để thu thập thông tin đăng nhập. Đánh cắp thông tin đăng nhập thường là phần bền vững của một cuộc tấn công, và việc dọn dẹp phần mềm chỉ là một nửa của biện pháp ứng phó. Tương tự, các nền tảng hướng ra internet chưa được vá là điểm xâm nhập thường xuyên, như đã thấy khi các điệp viên Nga khai thác lỗ hổng zero-day của Zimbra nhắm vào các máy chủ email.
Điều này có ý nghĩa gì với bạn
Nếu bạn vận hành FreePBX, hãy giả định rằng một vụ xâm phạm bị nghi ngờ đồng nghĩa với việc mọi bí mật trên máy đó đều đã bị lộ. Các bước thực tế bao gồm:
- Xoay vòng mọi thứ sau khi dựng lại. Thay đổi tất cả mật khẩu máy lẻ SIP, thông tin đăng nhập trunk với nhà cung cấp của bạn, mật khẩu cơ sở dữ liệu và thông tin đăng nhập quản trị. Thực hiện việc này với máy chủ mới, không phải trước đó, và tránh sử dụng lại các giá trị cũ.
- Dựng lại sạch sẽ. Cài đặt từ phương tiện đáng tin cậy thay vì khôi phục toàn bộ ảnh hệ thống có thể mang theo mã độc. Xem xét mọi cấu hình được khôi phục để tìm các mục lạ.
- Vá FreePBX và các mô-đun của nó. Giữ nền tảng và hệ điều hành luôn cập nhật, vì các giao diện quản trị bị lộ là mục tiêu phổ biến.
- Hạn chế quyền truy cập quản trị. Không để giao diện web FreePBX mở ra internet. Giới hạn nó với VPN, mạng quản trị hoặc các địa chỉ IP tin cậy cụ thể.
- Sử dụng mật khẩu SIP mạnh và duy nhất. Mật khẩu ngẫu nhiên dài cho mỗi máy lẻ khiến việc đoán và tái sử dụng trở nên ít hữu ích hơn nhiều đối với kẻ tấn công.
- Đặt giới hạn chi tiêu và cảnh báo với nhà cung cấp SIP của bạn. Giới hạn về khối lượng cuộc gọi, điểm đến quốc tế và chi tiêu hàng ngày có thể ngăn gian lận trở thành hóa đơn khổng lồ, và cảnh báo giúp bạn nhận ra sớm.
- Xem lại nhật ký cuộc gọi. Tìm các cuộc gọi vào giờ lạ, điểm đến không quen thuộc hoặc các máy lẻ mà bạn không nhận ra.
Các doanh nghiệp nhỏ và người dùng phòng thí nghiệm tại nhà đặc biệt dễ bị tổn thương vì hệ thống điện thoại thường được thiết lập một lần rồi bị lãng quên. Một PBX nằm im lặng trên IP công cộng có thể không được giám sát trong nhiều tháng, đúng là tình huống mà các kẻ vận hành gian lận ưa thích.
Vệ sinh mạng xung quanh PBX cũng quan trọng. Nếu bộ định tuyến của bạn đã bị can thiệp, lưu lượng và thông tin đăng nhập có thể bị chuyển hướng, như được mô tả trong bài viết về tin tặc Nga chiếm quyền cài đặt DNS của bộ định tuyến tại nhà. Giữ firmware bộ định tuyến được cập nhật và khóa chặt các bảng quản trị sẽ hỗ trợ phần còn lại của các biện pháp phòng thủ của bạn.
Những điểm chính cần ghi nhớ
Báo cáo INJ3CTOR3 là lời nhắc nhở rằng đối với một triển khai FreePBX, thông tin đăng nhập có giá trị ngang với máy chủ. Việc dựng lại mà không xoay vòng thông tin đăng nhập có thể để cửa mở. Để giảm rủi ro:
- Vá FreePBX và giữ nó khỏi internet mở
- Xoay vòng mọi bí mật SIP, cơ sở dữ liệu và quản trị sau bất kỳ vụ xâm phạm bị nghi ngờ nào
- Dựng lại từ các nguồn sạch
- Đặt giới hạn chi tiêu với nhà cung cấp và giám sát hồ sơ cuộc gọi
Nếu bạn quản lý một hệ thống điện thoại, hãy kiểm tra mức độ phơi nhiễm FreePBX của bạn ngay hôm nay, cập nhật phần mềm và đưa việc xoay vòng thông tin đăng nhập vào danh sách kiểm tra sự cố của bạn. Vài giờ làm việc bây giờ có thể ngăn một hóa đơn điện thoại bất ngờ sau này.
