کمپین حملات INJ3CTOR3 که هدف آن کلاهبرداری تلفنی (Toll Fraud) از طریق سیستم‌های تلفنی مبتنی بر Asterisk است، وارد مرحله جدیدی شده است. برخلاف گزارش‌های قبلی که نشان‌دهنده استفاده از Webshell برای انجام تماس از طریق سیستم PBX قربانی بود، تحلیل‌های جدید نشان می‌دهد که مهاجمان اکنون به دنبال سرقت اعتبارنامه‌ها (Credentials) و اطلاعات حساس هستند.
تغییر استراتژی: از تسخیر سیستم تا سرقت هویت
در نسخه‌های جدید این حمله، بدافزار (Implant) علاوه بر ایجاد دسترسی، اقدام به استخراج ۱۷ فایل پیکربندی حساس می‌کند. این فایل‌ها شامل اطلاعات مربوط به SIP Trunk، پایگاه داده (Database)، AMI و اعتبارنامه‌های Mail-relay هستند. این تغییر استراتژی به این معناست که حتی پس از پاکسازی کامل سیستم (Disinfection) یا بازسازی میزبان (Rebuilding)، مهاجم همچنان می‌تواند با استفاده از Trunkهای سرقت شده، از هر جای دنیا به عنوان قربانی تماس برقرار کند.
جزئیات فنی و نحوه عملکرد
- استخراج داده‌ها: فایل
k.phpدر هر بار اجرا، اطلاعات حساس را به سرورهای مرحله‌گذاری (Staging Servers) ارسال می‌کند. - مکانیسم پایداری (Persistence): بدافزار از روش‌های خود-ترمیم‌شونده (Self-healing) استفاده می‌کند که شامل وظایف زمان‌بندی شده (Cron jobs) و فایل‌های
.htaccessبرای پنهان‌سازی Webshell است. - پنهان‌کاری: مهاجمان از تکنیک‌های رمزنگاری مانند Base64 و ROT13 برای مخفی کردن دستورات استفاده می‌کنند تا در لاگ‌های استاندارد شبکه دیده نشوند.
راهکارهای دفاعی و شناسایی
برای مقابله با این تهدید، مدیران امنیت باید اقدامات زیر را در دستور کار قرار دهند:
- بازنشانی اعتبارنامه‌ها (Credential Rotation): پس از پاکسازی سیستم، حتماً باید تمامی رمزهای عبور و تنظیمات SIP Trunk و پایگاه داده بازنشانی شوند.
- مانیتورینگ شبکه: نظارت بر درخواست‌های outbound HTTP POST از سمت سیستم‌های PBX به سمت سرورهای ناشناس.
- حسابرسی Asterisk: مقایسه خروجی‌های CLI سیستم Asterisk با آنچه در کنسول FreePBX نمایش داده می‌شود، برای شناسایی Trunkهای غیرمجاز.
- کنترل خروجی (Egress Filtering): محدود کردن دسترسی سیستم‌های PBX به اینترنت و اجازه دادن تنها به آدرس‌های مورد نیاز (Allow-listing).
