Не санкционированные звонки! Взлом? 3СX Phone Systems v.8

[anonymous]

Столкнулся с такой проблемой!
В субботу(не рабочий день) был совершен ряд звонков преимущественно по направлению Африка! Изначально ситуация была замечена в личном кабинете sip-провайдера (gobaza) просто кончились деньги на счету!
Дальнейшее изучение показало, что звонки были совершены с помощью НАШЕЙ АТС (версия 8 бесплатная с бесплатным ключом включающим функцию факса и ограничивающего количество внешних соединений до двух)
Далее по логам АТС определено, что звонки были совершены с внутреннего номера 100, номер существует и зарегистрирован на устройство (sip-адаптер Linksys), НО к данному адаптеру не подключен телефонный аппарат! (их вообще нет в офисе только IP-аппараты)

Теперь о придуманных мною вариантах произошедшего!
Вариант 1. Человек с телефонным аппаратом в офисе.
этот вариант с проникшей в офис охраной (не нашей общей по зданию) с телефонном аппаратом и знанием, что именно в этой коробочке похожей на роутер нужно подключить телефон считаю крайне маловероятным. Но тем не менее вариант рассматривается т.к. остальные не менее странные!
Вариант 2. Подключение внешнего клиента.
Тут немного расскажу об устройстве самой сети! Small business server 2003 (SBS) на нем же установлена АТС. Снаружи прикрыта ISA входящий порт один 5060, а также 25 443 80 ВСЕ! Есть подключение ВПН с ним портов конечно больше, но год назад когда система ставилась и настраивалась мною была произведена попытка подключения внешнего клиента (софтовый клиент от 3cx) естественно при включенном VPN соединение установить не удалось, атс регистрировала попытку, но подключение не происходило отваливалось по тайм ауту. В данный момент собираюсь снова проверить возможность подключения внешнего клиента. Но в целом считаю и эту возможность маловероятной! Т.к. она бы потребовала компрометации двух РАЗНЫХ паролей админского для домена и админского для АТС(пароль на АТС вводится крайне редко)
Есть сегмент сети отдельный интерфейс, отведенный под wi-fi но без VPN он смотрит исключительно в инет по порту 80 и на днс сервера. Т.е. даже если wi-fi был взломан все равно бы потребовались два выше указанных пароля!
Вариант 3. Новый супер вирус/черь/троян для ATC-3CX.
На сервере установлен Касперский обновляется регулярно. На клиентах антивирус от микрософта пользователи ограничены в правах порты открыты только необходимые для работы домена.
Вариант 4. Не известная уязвимость 3CX
Тут вообще ничего сказать не могу… каким-то хитром пакетом на порт 5060 атс заставили позвонить в Самали и далее по списку…

 

[igor.snezhko]

А зачем у вас был открыт 5060?

 

[aleksandr]

@delete wrote:
Далее по логам АТС определено, что звонки были совершены с внутреннего номера 100, номер существует и зарегистрирован на устройство (sip-адаптер Linksys), НО к данному адаптеру не подключен телефонный аппарат! (их вообще нет в офисе только IP-аппараты)"

А для чего тогда подключен sip-адаптер Linksys?

 

[anonymous]

@aleksandr wrotedelete wrote:
Далее по логам АТС определено, что звонки были совершены с внутреннего номера 100, номер существует и зарегистрирован на устройство (sip-адаптер Linksys), НО к данному адаптеру не подключен телефонный аппарат! (их вообще нет в офисе только IP-аппараты)"

А для чего тогда подключен sip-адаптер Linksys?

Просто не выключили. На нем пытался настроить аналоговый факс, понял что факс несколько по другому работают факс убрали, а адаптер остался. Сейчас уже выключили!

 

[anonymous]

А пароль для авторизации устройства, подключаемого к внутреннему номеру 100, какой у Вас задан?

 

[vpaulo]

Господа, поставьте файервол перед любым внешним соединением до 3сх. в последнее время я тут видел что и меня пыталась некая госпожа ником"хероплетка" айпиадреса 1,1,1,1 пинговать и подбирать пароли для юзерей. ( стояла 8-ка)

пришлось переделать схему подключения и воткнуть все позади фрюхи )))


allow sipprov to me 5060 check-state
deny any to me 5060
рулят ))


а вообще безопасность соединений это уже дело админа.. и если пароли гавно.. то подобрать их сможет самый маленький юзер.

Было бы не плохо приделать функцию регистрация "from interface" в 3сх, чтоб разрешать или запрешать кому либо из екстеншенов реигстрироваться на 3сх снаружи

 

[igor.snezhko]

Господа, а я упорно не понимаю, зачем вообще открывать 5060 НА ВХОД?
У меня 3 VoiP провайдера - Justvoip, Укртелеком и Голден Телеком. Снаружи все закрыто. И все работает.

 

[anonymous]

@igor.snezhko wrote:Господа, а я упорно не понимаю, зачем вообще открывать 5060 НА ВХОД?
У меня 3 VoiP провайдера - Justvoip, Укртелеком и Голден Телеком. Снаружи все закрыто. И все работает.Аналогично не понимаю. Открывать 5060 наружу нужно лишь в случае подключения к вашей системе внешних клиентов, которые находятся вне пределов вашего офиса. Разве SIP провайдеры инициируют подключения к вашей системе? Нет. Я как то так думаю.

 

[anonymous]

@enman wroteigor.snezhko wrote:Господа, а я упорно не понимаю, зачем вообще открывать 5060 НА ВХОД?
У меня 3 VoiP провайдера - Justvoip, Укртелеком и Голден Телеком. Снаружи все закрыто. И все работает.Аналогично не понимаю. Открывать 5060 наружу нужно лишь в случае подключения к вашей системе внешних клиентов, которые находятся вне пределов вашего офиса. Разве SIP провайдеры инициируют подключения к вашей системе? Нет. Я как то так думаю.

Ответ на выделенный вопрос - да, инициируют. Происходит это для каждого звонка, который отправляется провайдером на PBX. Я вот тоже не понимаю, а как пакеты от провайдеров к PBX попадают, если на вход всё закрыто?.. ...или всё-таки там что-то открывается?

Пароли ставьте сложные и "во много цифер буков". Пользуйтесь 9-й версией, она блокирует назойливых подбирателей паролей. В блоге есть статьи по этому поводу.
В 10-й версии будет больше возможностей для контроля внешних подключений и слежения за незванными гостями.

 

[anonymous]

Увидел ваш пост по поиску моей недавней проблемы и решил отписать свою неприятнейшую историю

Позавчера я включил свою железку в мир честным айпишником (Начальство дало задание заменить VLAN на VPN IP-sec тунель). Железка моя - Cisco 2811. На ней сидят телефоны которые включены SIP-транком на CUCM в основном офисе. Телефонию берем от провайдера Голден Телеком по PRI/E1 потоком.
Началось с того что к нам позвонил наш Сервис менеджер из Голдена и сообщил о том что с нашей стороны зафиксирован большой всплеск звонков заграницу (Австрия) и на спутниковые телефоны. Уже набежало 18000 секунд. У меня волосы встали, начал проверять голосовой шлюз а на нем забиты все тайм-слоты на звонки по неизвестным номером!!! Как раз от 100-го номера (который у нас не зарегистрирован). Я сначала не понял что произошло, перезагрузил шлюз - ничего не помогло, звонки с временем восстановились. Начал пробивать источник звонков, по IP адресу увидел что это моя удаленная железка 2811, и я вспоминаю что включил ее недавно в мир!!! Быстро вырубил порт на интернет. Позвонил "знакомому" админу и он рассказал данный тип взлома.
Всё дело в том что я не прописал access-lists и моя железяка была полность готова для пользования ею по полной программе, оставалось всего лишь пропистаь ее IP в качестве шлюза и вперед )
Опыт мне стоит 20 000 грн. наговореных, и скорее всего это еще не полная сумма (((( Вот такие дела... Так что не щелкаем клювами, как я!!! ( Зато на всю жизнь урок ....
По логам увидел что взлом осуществлялся как-раз со стороны Азиатских стран, Гон-Конг, China ... Узкоглазые уроды не дремлют .... Пароль к моей тачке подбирали всё время пока она была доступна ... Берегите себя!!

 

[igor.snezhko]

В 10 версии 3CX над этими делами хорошо поработали.

 

[vpaulo]

знаешь если дать автомат обезъяне с гранатой то она может или убить всех вокруг или убить тока кого надо. циска это хороший инструмент.. просто конфигурировать ее тоже надо.. а ацлки нужно делать при первом ее стартапе )))) у меня о сих пор лежит в столе 2811 и я когда ее програмирую то закрываю всю и сразу ))). там еще кстати есть утилита которая на секьюрити ее саму себя сканирует... тоже можно прогнать ))) на будущее

 

[anonymous]

Cегодня наша АТС похоже тоже подверглась хакерской атаке, с 3-х часов утра начались звонки на международные номера 810... с внутреннего номера 888, это как я понимаю факс сервер.
Хорошо, что вовремя среагировал наш оператор связи.
Все прекратилось, после того как я изменил пароль на этом факс сервере (888).

Меняйте пароли вовремя!!!

Кстати, а какие еще служебные номера существуют на которых необходимо поменять пароли?

 

[anonymous]

@Banberry wrote:Cегодня наша АТС похоже тоже подверглась хакерской атаке, с 3-х часов утра начались звонки на международные номера 810... с внутреннего номера 888, это как я понимаю факс сервер.
Хорошо, что вовремя среагировал наш оператор связи.
Все прекратилось, после того как я изменил пароль на этом факс сервере (888).

Меняйте пароли вовремя!!!

Кстати, а какие еще служебные номера существуют на которых необходимо поменять пароли?

Необходимо менять только для FAX.

Хороший у Вас оператор связи. Если бы все так делали, то и проблем было бы меньше.
Адреса злоумышленников можете выложить? Интересно посмотреть откуда они.

 

[anonymous]

А как посмотреть IP злоумышленника?

я в логах вижу только это (calldetails.txt):

1405,965e187b9d6a7c32,4/14/2011 9:04:26 AM,,4/14/2011 9:04:47 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1406,06036244b17e9f4a,4/14/2011 9:04:27 AM,,4/14/2011 9:04:52 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1407,857743720a5b2312,4/14/2011 9:04:28 AM,,4/14/2011 9:04:57 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1408,ed5e5574273bcd3c,4/14/2011 9:05:20 AM,,4/14/2011 9:05:29 AM,00:00:00,False,False,True,False,2,888,81097282139357,888,81097282139357,,,,10008,1,0,,default,-2,
1409,180ff460af1dd030,4/14/2011 9:04:33 AM,,4/14/2011 9:05:33 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1410,e414c323a111e53b,4/14/2011 9:06:08 AM,,4/14/2011 9:06:15 AM,00:00:00,False,False,True,False,2,888,81097282139357,888,81097282139357,,,,10008,1,0,,default,-2,
1411,bf56ed021425e464,4/14/2011 9:05:34 AM,,4/14/2011 9:06:32 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1412,733dca11ee26a72e,4/14/2011 9:06:29 AM,,4/14/2011 9:06:55 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1413,454f131c001b8f14,4/14/2011 9:06:44 AM,,4/14/2011 9:07:11 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1414,bc720344e463b146,4/14/2011 9:07:19 AM,,4/14/2011 9:07:51 AM,00:00:00,False,False,True,False,2,888,810881835211054,888,810881835211054,,,,10008,1,0,,default,-2,
1415,985d3d4bf82cdf4b,4/14/2011 9:07:40 AM,,4/14/2011 9:08:01 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1416,186f63630243ec68,4/14/2011 9:08:11 AM,,4/14/2011 9:08:11 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,
1417,98266143cd5d5b58,4/14/2011 9:08:11 AM,,4/14/2011 9:08:11 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,
1418,834c7a0d5c465d27,4/14/2011 9:08:11 AM,,4/14/2011 9:08:11 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,
1419,eb394d578959df54,4/14/2011 9:08:11 AM,,4/14/2011 9:08:12 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,
1420,557631086e56c029,4/14/2011 9:08:12 AM,,4/14/2011 9:08:12 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,
1421,0a33ea65390f5e62,4/14/2011 9:08:12 AM,,4/14/2011 9:08:12 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,
1422,6a556508ec682a5f,4/14/2011 9:08:31 AM,,4/14/2011 9:08:31 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,
1423,ab074d57351de255,4/14/2011 9:08:42 AM,,4/14/2011 9:08:43 AM,00:00:00,False,True,True,False,2,888,810881835211053,888,810881835211053,,,,,0,0,,,-2,

или это (callhistory3.txt):

1540,761d570e6f2a247c,4/14/2011 9:54:39 AM,,4/14/2011 9:54:59 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1541,2123a4766b6fc838,4/14/2011 9:54:51 AM,,4/14/2011 9:55:07 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1542,ee562818163c1822,4/14/2011 9:55:03 AM,,4/14/2011 9:55:24 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1543,e82b8b0ed953272f,4/14/2011 9:55:15 AM,,4/14/2011 9:55:33 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1544,ee47cb6dc3571b4b,4/14/2011 9:55:18 AM,,4/14/2011 9:55:41 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1545,e879794777368156,4/14/2011 9:55:19 AM,,4/14/2011 9:55:45 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1546,594e4b154116db56,4/14/2011 9:55:20 AM,,4/14/2011 9:55:50 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1547,de16743c7653b02b,4/14/2011 9:55:20 AM,,4/14/2011 9:55:54 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1548,6137125b367a7106,4/14/2011 9:55:27 AM,,4/14/2011 9:55:57 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1549,f6711042457c5f5a,4/14/2011 9:55:35 AM,,4/14/2011 9:56:01 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1550,a0411136ea74c073,4/14/2011 9:55:58 AM,,4/14/2011 9:56:13 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1551,71593410177cf955,4/14/2011 9:56:02 AM,,4/14/2011 9:56:18 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1552,c260df2b50277176,4/14/2011 9:56:28 AM,,4/14/2011 9:56:51 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1553,7356ce4805324476,4/14/2011 9:56:44 AM,,4/14/2011 9:57:04 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,
1554,7474133956302f2f,4/14/2011 9:56:55 AM,,4/14/2011 9:57:21 AM,00:00:00,False,False,True,False,2,888,810881835211053,888,810881835211053,,,,10008,1,0,,default,-2,