黑客利用 Digium 电话软件瞄准 VoIP 服务器

2022-07-17 21:50 推荐: 网路游侠浏览: 13字号: 大中小

摘要: 使用 Digium 软件的 VoIP 电话的目标是在其服务器上放置一个 web shell，作为攻击活动的一部分，该攻击活动旨在通过下载和执行额外的有效负载来泄露数据。 Palo Alto Networks Unit 42 在周五的一份报告中说：“该恶意软件...

使用 Digium 软件的 VoIP 电话的目标是在其服务器上放置一个 web shell，作为攻击活动的一部分，该攻击活动旨在通过下载和执行额外的有效负载来泄露数据。

Palo Alto Networks Unit 42 在周五的一份报告中说：“该恶意软件将多层混淆的 PHP 后门安装到 Web 服务器的文件系统，下载新的有效负载以执行，并安排重复任务以重新感染主机系统。”

据说这项不寻常的活动于 2021 年 12 月中旬开始，目标是 Asterisk，这是一种在开源 Elastix 统一通信服务器上运行的专用小交换机 (PBX) 的广泛使用的软件实现。

Unit 42 表示，这些入侵与以色列网络安全公司 Check Point 在 2020 年 11 月披露的 INJ3CTOR3 活动有相似之处，暗示它们可能是先前攻击的“死灰复燃”。

与突然激增相吻合的是 2021 年 12 月公开披露的 FreePBX 中一个现已修补的远程代码执行漏洞，这是一个基于 Web 的开源 GUI，用于控制和管理 Asterisk。跟踪为 CVE-2021-45461，该问题的严重程度为 9.8（满分 10）。

攻击从从远程服务器检索初始 dropper shell 脚本开始，该脚本又被精心安排以将 PHP Web shell 安装在文件系统的不同位置，并创建两个 root 用户帐户以维护远程访问。

它进一步创建了一个计划任务，该任务每分钟运行一次，并从攻击者控制的域中获取 shell 脚本的远程副本以执行。

除了采取措施掩盖其踪迹外，该恶意软件还具备运行任意命令的能力，最终使黑客能够控制系统、窃取信息，同时还为受感染主机设置后门。

研究人员说：“在易受攻击的服务器中植入 web shell 的策略并不是恶意行为者的新策略，”研究人员补充说，这是“恶意软件作者用来远程启动漏洞或运行命令的常用方法”。