一场名为 INJ3CTOR3 的恶意软件活动正在针对 FreePBX 服务器发起攻击，据报道其目标并不仅仅是一次入侵。根据新闻报道，该恶意软件会窃取 SIP 密码、数据库凭据和其他机密信息，以便攻击者即使管理员重建了服务器，仍能继续实施电话欺诈。对于任何运行 FreePBX 服务器安全 环境的人来说，无论是在小型办公室还是家庭实验室中，这一细节都会改变清理工作应如何进行。

源文章篇幅简短，因此本文仅基于其陈述的内容，并解释这些细节为何重要的通用机制。

INJ3CTOR3 恶意软件据报做了什么

根据报道，INJ3CTOR3 针对的是 FreePBX——这一广泛使用的开源 Web 界面，用于管理基于 Asterisk 的电话系统。一旦进入服务器，该恶意软件会窃取三类数据：

  • SIP 密码，用于验证电话分机和中继的身份
  • 数据库凭据
  • 系统上存储的其他机密信息

关键在于持久性。报道称，这种窃取行为旨在在重建后维持电话欺诈。换句话说，如果攻击者已经持有事后仍然有效的合法凭据，那么擦除并重装 PBX 可能并不能解决问题。

被盗的 SIP 凭据为何助长电话欺诈

SIP 凭据本质上是允许设备或账户通过您的电话系统或上游提供商拨打电话的钥匙。如果攻击者拥有它，他们通常可以从任何地方注册为合法分机或中继。通话记录随后会显示来自您的组织。

这就是话费欺诈的基础：电话被拨往高费率或国际目的地，而受害者承担费用。文章将窃取的数据描述为维持欺诈的手段，这表明凭据才是真正的目标，而非服务器本身。

数据库凭据增加了另一层风险。PBX 数据库可以保存配置详情、分机信息以及其他有助于攻击者维持访问权限或进一步渗透的材料。请将受感染系统上存储的任何内容视为已泄露。

为何仅靠重建可能不够

许多管理员合理地认为，干净的重装可以清除入侵者。对于机器上的恶意软件而言确实如此，但这并不能撤销机密信息的窃取。如果相同的 SIP 密码、中继登录凭据或数据库密码从备份中恢复或被重新输入，攻击者就可以凭借合法凭据直接再次进入。

这种模式与其他事件如出一辙——被盗的登录凭据在初始入侵之后仍然有效，例如被用于收集凭据的被投毒的 arrayref Rust crate。凭据窃取往往是攻击中持久的部分，而软件清理只是应对工作的一半。同样，未修补的面向互联网的平台是反复出现的入口点，正如俄罗斯间谍利用 Zimbra 零日漏洞攻击电子邮件服务器时所见。

这对您意味着什么

如果您运行 FreePBX，请假设一旦怀疑遭到入侵，该机器上的所有机密信息均已泄露。实际步骤包括：

  1. 重建后轮换所有凭据。 更改所有 SIP 分机密码、与提供商的中继凭据、数据库密码和管理员登录凭据。请在新服务器上执行此操作，而非之前，并避免重复使用旧值。
  2. 干净地重建。 从可信介质安装，而不是恢复可能携带恶意软件的完整系统镜像。检查任何恢复的配置中是否有不熟悉的条目。
  3. 修补 FreePBX 及其模块。 保持平台和操作系统为最新版本，因为暴露的管理界面是常见目标。
  4. 限制管理访问。 不要将 FreePBX Web 界面开放到互联网。将其限制为 VPN、管理网络或特定的受信任 IP 地址。
  5. 使用强且唯一的 SIP 密码。 为每个分机设置长随机密码，使猜测和重复使用对攻击者来说远没有那么有用。
  6. 与您的 SIP 提供商设置消费限额和警报。 对通话量、国际目的地和每日消费设置上限可以防止欺诈变成巨额账单，警报有助于您及早发现。
  7. 审查通话记录。 查找异常时段的通话、不熟悉的目的地或您不认识的分机。

小型企业和家庭实验室用户尤其容易受到影响，因为电话系统通常设置一次后就被遗忘。一台静默地挂在公共 IP 上的 PBX 可能数月无人监控，而这正是欺诈运营者喜欢的情况。

PBX 周围的网络卫生同样重要。如果您的路由器被篡改，流量和凭据可能被重定向，如俄罗斯黑客劫持家庭路由器 DNS 设置的报道所述。保持路由器固件更新并锁定管理面板，可以支持您的其他防御措施。

关键要点

INJ3CTOR3 的报道提醒我们，对于 FreePBX 部署而言，凭据与服务器同等重要。重建而不轮换凭据可能让大门继续敞开。为降低风险：

  • 修补 FreePBX 并使其远离开放的互联网
  • 在任何疑似入侵后轮换所有 SIP、数据库和管理员机密信息
  • 从干净来源重建
  • 设置提供商消费上限并监控通话记录

如果您管理电话系统，请今天就检查您的 FreePBX 暴露情况，更新软件，并将凭据轮换加入您的事件检查清单。现在花几个小时的工作，可以避免日后意外的电话账单。