Malware-ul pentru FreePBX fură acum credențialele SIP, iar frauda telefonică supraviețuiește reinstalării

Operațiunea INJ3CTOR3, o campanie de durată împotriva centralelor telefonice FreePBX și Asterisk expuse în internet, și-a schimbat discret obiectivul. Valurile anterioare instalau webshell-uri și treceau apeluri neautorizate prin centrala victimei. Versiunea actuală merge mai departe: colectează fișierele de configurare care conțin parolele trunchiurilor SIP, conturile de bază de date, secretele de administrare și credențialele pentru e-mailul de ieșire, apoi le trimite către servere de colectare controlate de atacatori. Odată ce aceste secrete au plecat, ștergerea și reinstalarea serverului nu mai opresc frauda.

Ce s-a schimbat

Installer-ul actualizat conține două blocuri de comenzi codificate. Fiecare încarcă același set de 17 fișiere de configurare către un alt server de colectare, iar o sarcină programată rulează installer-ul la fiecare minut cât timp infecția este activă. Fișierele vizate acoperă FreePBX, Issabel, Elastix, Asterisk și Postfix, printre care:

• setările de autentificare, endpoint, transport și înregistrare pentru SIP și PJSIP;
• credențialele Asterisk Manager Interface (AMI);
• parolele bazei de date păstrate în configurația FreePBX și a portalului;
• fișierul de parole SASL al Postfix, folosit pentru releul de e-mail.

Campania își păstrează webshell-urile cunoscute JOMANGY și ZenharR, care oferă operatorilor execuție de comenzi de la distanță și acces direct la funcțiile centralei. Un panou de control integrat poate falsifica o sesiune de administrator pe FreePBX sau Elastix fără a cunoaște vreo parolă. Noile versiuni schimbă și șirurile-filigran ale webshell-urilor și au modificat hash-ul care protejează parola shell-ului, o retușare minoră, dar suficientă pentru a păcăli regulile de detecție scrise pentru mostrele anterioare.

Mecanismele de persistență sunt în mare parte neschimbate și rămân adânc înrădăcinate: descărcări programate, declanșatoare la autentificare, copii de rezervă protejate și mai multe duplicate ale webshell-ului răspândite în rădăcina web, care refac tot ce șterge un analist. Regulile de rescriere ale serverului web sunt modificate astfel încât cererile cu spații codificate să ajungă la shell fără ca numele fișierului să apară în jurnalele de acces, iar un script de preluare a controlului șterge jurnalele și istoricul comenzilor pentru a împiedica reconstituirea incidentului.

Installer-ul și comenzile de încărcare au fost recuperate din artefacte colectate de pe serverele de colectare în septembrie 2026. Nu a fost surprinsă nicio exfiltrare în direct și nu există un număr fiabil de victime, așa că amploarea reală a furtului de credențiale rămâne necunoscută.

De ce contează

O credențială de trunchi SIP este, practic, parola facturii telefonice a unei companii. Ea autentifică firma în fața operatorului de telefonie, iar dacă operatorul nu restricționează înregistrările la adrese-sursă aprobate, oricine deține secretul poate înregistra o centrală proprie în altă parte și poate plasa apeluri facturate pe contul victimei. Acele apeluri nu ating niciodată centrala originală, așa că un server proaspăt curățat nu arată niciun semn.

Încărcarea la fiecare minut întinde și o capcană echipelor de răspuns la incidente. Dacă administratorul schimbă parolele înainte ca malware-ul să fie complet eliminat, noile secrete sunt colectate la următoarea rulare și ajung direct la atacator.

Nici un tablou de bord cu aspect normal nu este o dovadă că sistemul e curat. În teste de laborator, un trunchi Asterisk definit direct în fișierele de configurare a transportat apeluri fără să apară nicăieri în consola FreePBX. Tehnica nu a fost observată în această campanie, dar arată cât de mult se poate ascunde sub interfața web.

Ce este de făcut

1. Izolați mai întâi, apoi păstrați dovezile. Scoateți centrala din rețea și salvați jurnalele, înregistrările de autentificare și detaliile apelurilor înainte de orice curățare. Scriptul de preluare a controlului distruge activ aceste dovezi.
2. Eliminați complet înainte de a schimba parolele. Având în vedere persistența stratificată, reinstalarea dintr-o imagine de încredere este opțiunea cea mai sigură. Abia după ce sistemul este confirmat curat înlocuiți fiecare secret: parole de trunchi și extensii, utilizatori AMI, conturi de bază de date, credențiale de releu e-mail și conturi de administrare.
3. Colaborați cu operatorul de telefonie. Cereți credențiale noi de trunchi, o listă de adrese IP permise pentru înregistrări, limite de cheltuieli și blocarea destinațiilor cu tarif premium sau internaționale nefolosite.
4. Urmăriți semnalele care supraviețuiesc curățării. Alertați la înregistrări din adrese neașteptate, apeluri către numere cu tarif premium, concurență neobișnuită a apelurilor și încărcări de date care pleacă din centrală.
5. Căutați indicatorii. Verificați conexiunile către 45[.]95[.]147[.]178 și 160[.]119[.]69[.]4, fișierele PHP din rădăcina web care conțin șiruri ce încep cu trace_ și conturile locale al căror hash de parolă începe cu $1$nRz1Cbtk$.
6. Nu mai expuneți interfața de administrare. Administrarea FreePBX trebuie să stea în spatele unui VPN sau al unei liste stricte de acces, niciodată deschisă întregului internet.

Centralele telefonice stau de obicei în afara inventarului de active pe care îl urmăresc echipele de web și cloud, exact motivul pentru care astfel de campanii continuă să le găsească. Serviciul nostru de Attack Surface Management cartografiază continuu ce expune cu adevărat o organizație în internet, inclusiv panourile de administrare VoIP uitate, astfel încât acestea să poată fi securizate înainte ca altcineva să se autentifice.