El malware para FreePBX ahora roba credenciales SIP y el fraude telefónico sobrevive a la reinstalación

La operación INJ3CTOR3, una campaña de larga duración contra centralitas FreePBX y Asterisk expuestas a internet, ha cambiado discretamente de objetivo. Las oleadas anteriores instalaban webshells y cursaban llamadas no autorizadas a través de la propia PBX de la víctima. La versión actual va un paso más allá: recolecta los archivos de configuración que guardan las contraseñas de troncales SIP, las credenciales de base de datos, los secretos de administración y las credenciales de correo saliente, y los envía a servidores de recolección controlados por los atacantes. Una vez que esos secretos salen, borrar y reinstalar el servidor ya no detiene el fraude.

Qué ha cambiado

El instalador actualizado incluye dos bloques de comandos codificados. Cada uno sube el mismo conjunto de 17 archivos de configuración a un servidor de recolección distinto, y una tarea programada vuelve a ejecutar el instalador cada minuto mientras la infección siga activa. Los archivos afectados abarcan FreePBX, Issabel, Elastix, Asterisk y Postfix, entre ellos:

• la configuración de autenticación, endpoints, transportes y registros de SIP y PJSIP;
• las credenciales de la Asterisk Manager Interface (AMI);
• las contraseñas de base de datos almacenadas en la configuración de FreePBX y del portal;
• el archivo de contraseñas SASL de Postfix usado para el relay de correo.

La campaña conserva sus webshells conocidas JOMANGY y ZenharR, que dan a los operadores ejecución remota de comandos y acceso directo a las funciones de la centralita. Un panel de control integrado puede forjar una sesión de administrador en FreePBX o Elastix sin conocer ninguna contraseña. Las nuevas compilaciones también rotan las cadenas de marca de agua de la webshell y han cambiado el hash que protege la contraseña de acceso al shell, un ajuste pequeño pero suficiente para burlar las reglas de detección escritas para muestras anteriores.

La capa de persistencia apenas ha cambiado y sigue siendo profunda: descargas programadas, disparadores al iniciar sesión, copias de seguridad protegidas y múltiples duplicados de la webshell repartidos por la raíz web que restauran todo lo que un analista borre. Las reglas de reescritura del servidor web se modifican para que las peticiones con espacios codificados lleguen al shell sin que su nombre de archivo aparezca en los registros de acceso, y un script de toma de control borra registros e historiales de comandos para dificultar la reconstrucción del incidente.

El instalador y los comandos de subida se recuperaron de artefactos recogidos en los servidores de recolección en septiembre de 2026. No se capturó ninguna exfiltración en vivo ni existe un recuento fiable de víctimas, por lo que la escala real del robo de credenciales se desconoce.

Por qué importa

Una credencial de troncal SIP es, en la práctica, la contraseña de la factura telefónica de una empresa. Autentica al negocio ante su operador y, salvo que el operador restrinja los registros a direcciones de origen aprobadas, cualquiera que posea el secreto puede registrar una centralita propia en otro lugar y cursar llamadas con cargo a la cuenta de la víctima. Esas llamadas nunca pasan por la PBX original, así que un servidor recién limpiado no muestra rastro alguno.

La subida cada minuto también tiende una trampa a los equipos de respuesta. Si el administrador rota las contraseñas antes de eliminar por completo el malware, los nuevos secretos se recogen en la siguiente ejecución y llegan directamente al atacante.

Un panel con aspecto normal tampoco demuestra que el sistema esté limpio. En pruebas de laboratorio, una troncal de Asterisk definida directamente en los archivos de configuración cursó llamadas sin aparecer en ningún lugar de la consola de FreePBX. Esa técnica no se ha observado en esta campaña, pero muestra cuánto puede esconderse bajo la interfaz web.

Qué hacer

1. Aislar primero y preservar después. Desconecte la PBX de la red y guarde registros, datos de registro SIP y detalles de llamadas antes de limpiar nada. El script de toma de control destruye activamente esas pruebas.
2. Erradicar por completo antes de rotar. Dada la persistencia en capas, reinstalar desde una imagen de confianza es la opción más fiable. Solo cuando el sistema esté confirmado limpio deben sustituirse todos los secretos: contraseñas de troncales y extensiones, usuarios AMI, cuentas de base de datos, credenciales de relay de correo y cuentas administrativas.
3. Coordinarse con el operador. Solicite nuevas credenciales de troncal, una lista blanca de IP de origen para los registros, límites de gasto y bloqueo de destinos de tarificación especial o internacionales que no se usen.
4. Vigilar las señales que sobreviven a la limpieza. Genere alertas por registros desde direcciones inesperadas, llamadas a números de tarificación especial, concurrencia de llamadas inusual y subidas de datos salientes desde la PBX.
5. Buscar indicadores. Revise conexiones hacia 45[.]95[.]147[.]178 y 160[.]119[.]69[.]4, archivos PHP en la raíz web con cadenas que empiecen por trace_ y cuentas locales cuyo hash de contraseña comience por $1$nRz1Cbtk$.
6. Dejar de exponer la interfaz de administración. La gestión de FreePBX debe quedar detrás de una VPN o de una lista de acceso estricta, nunca abierta a todo internet.

Las centralitas suelen quedar fuera del inventario de activos que vigilan los equipos web y cloud, y precisamente por eso campañas como esta siguen encontrándolas. Nuestro servicio de Attack Surface Management mapea de forma continua lo que una organización expone realmente a internet, incluidos los paneles de administración VoIP olvidados, para que puedan cerrarse antes de que otro inicie sesión.