Οι αναλυτές απειλών ανακάλυψαν μια εκστρατεία μεγάλης κλίμακας που στοχεύει servers τηλεφωνίας VoIP Elastix με περισσότερα από 500.000 δείγματα malware σε διάστημα τριών μηνών.
Δείτε επίσης: App Store: 84 scammy εφαρμογές χρεώνουν κρυφά χρήστες iPhone
Το Elastix είναι ένα server software για ενοποιημένες επικοινωνίες (Internet Protocol Private Branch Exchange [IP PBX], email, instant messaging, fax) που χρησιμοποιείται στο module τηλεφώνων Digium για FreePBX.
Οι εισβολείς ενδέχεται να έχουν εκμεταλλευτεί μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα (RCE) που προσδιορίζεται ως CVE-2021-45461, με αξιολόγηση κρίσιμης σοβαρότητας 9,8 στα 10.
Οι χάκερ εκμεταλλεύονται αυτήν την ευπάθεια από τον Δεκέμβριο του 2021 και η πρόσφατη εκστρατεία φαίνεται να συνδέεται με το ζήτημα της ασφάλειας.
Οι ερευνητές ασφαλείας στην Unit 42 της Palo Alto Networks λένε ότι ο στόχος των εισβολέων ήταν να εγκαταστήσουν ένα PHP web shell που θα μπορούσε να εκτελεί αυθαίρετες εντολές στον παραβιασμένο communications server.
Δείτε επίσης: Mantis botnet πίσω από την επίθεση DDoS που έσπασε ρεκόρ τον Ιούνιο
Σε μια αναφορά την Παρασκευή, οι ερευνητές λένε ότι ο απειλητικός παράγοντας ανέπτυξε «περισσότερα από 500.000 μοναδικά δείγματα malware αυτής της οικογένειας» μεταξύ Δεκεμβρίου 2021 και Μαρτίου 2022.
Η καμπάνια είναι ακόμα ενεργή και μοιράζεται αρκετές ομοιότητες με μια άλλη επιχείρηση του 2020 που αναφέρθηκε από ερευνητές στην εταιρεία κυβερνοασφάλειας Check Point.
Λεπτομέρειες της επίθεσης
Οι ερευνητές παρατήρησαν δύο ομάδες επίθεσης που χρησιμοποιούν διαφορετικά αρχικά exploitation scripts για να ρίξουν ένα shell script μικρού μεγέθους. Το script εγκαθιστά το backdoor της PHP στην στοχευμένη συσκευή και δημιουργεί και λογαριασμούς χρηστών root και διασφαλίζει το persistence μέσω προγραμματισμένων εργασιών.
Οι διευθύνσεις IP των εισβολέων και από τις δύο ομάδες βρίσκονται στην Ολλανδία, ενώ τα αρχεία DNS αποκαλύπτουν links σε αρκετούς ρωσικούς ιστότοπους ενηλίκων. Επί του παρόντος, τμήματα της υποδομής παράδοσης του payload παραμένουν online και λειτουργικά.
Η προγραμματισμένη εργασία που δημιουργήθηκε από το πρώτο script εκτελείται κάθε λεπτό για την ανάκτηση ενός κελύφους ιστού PHP που είναι κωδικοποιημένο από το base64 και μπορεί να διαχειριστεί τις ακόλουθες παραμέτρους στα εισερχόμενα web requests:
- md5 – MD5 authentication hash για απομακρυσμένη σύνδεση και web shell interaction.
- admin – Επιλογή μεταξύ administrator session Elastic και Freepbx.
- cmd – Εκτέλεση αυθαίρετων εντολών από απόσταση
- call – Εκκίνηση ενός call από το Asterisk command line interface (CLI)
Το web shell διαθέτει και ένα επιπλέον σύνολο οκτώ ενσωματωμένων εντολών για ανάγνωση αρχείων, directory listing και αναγνώριση της πλατφόρμας PBX ανοιχτού κώδικα Asterisk.
Δείτε επίσης: Η Amazon παραδέχτηκε ότι παρέχει βίντεο Ring στις αρχές εν αγνοία των ιδιοκτητών
Η αναφορά από την Unit42 περιλαμβάνει τεχνικές λεπτομέρειες σχετικά με τον τρόπο του drop των payloads και ορισμένες τακτικές για την αποφυγή εντοπισμού στο υπάρχον περιβάλλον. Επιπλέον, μια λίστα με indicators αποκαλύπτει τοπικά file paths που χρησιμοποιούν το malware, μοναδικά strings, hashes για shell scripts και δημόσιες διευθύνσεις URL που φιλοξενούν τα payloads.
Πηγή πληροφοριών: bleepingcomputer.com
