FBI: bűnözők automatikus tárcsázása a feltört VoIP rendszerekkel

A bűnözők kihasználják az Asterisk internetes telefonos rendszernek egy hibáját, amely lehetővé teszi számukra, hogy egy órán belül kiszabadítsák az átveréses telefonhívások ezreit. Az Egyesült Államok Szövetségi Nyomozó Iroda figyelmeztetett pénteken.

Az FBI nem tudta megmondani, hogy az Asterisk melyik verziója sérülékeny a hibára, de azt tanácsolta a felhasználóknak, hogy frissítsenek a szoftver legújabb verziójára. Az Asterisk egy nyílt forráskódú termék, amely lehetővé teszi a felhasználóknak, hogy egy Linux számítógépet VoIP (Voice over Internet Protocol) telefonközpontba kapcsoljanak.

Az úgynevezett vishing támadások során a csalók általában egy VoIP rendszert használnak egy hamis hívásközpont létrehozására és akkor használjon adathalász e-maileket, hogy becsapja az áldozatokat a központba. Ha egyszer ott vannak, kérni kell, hogy adjanak meg személyes adatokat. De az FBI által leírt átverés során nyilvánvalóan átveszi a legitim Asterisk rendszert, hogy közvetlenül hívja az áldozatokat.

[További olvasmány: A legjobb NAS dobozok a média közvetítéséhez és mentéséhez]

"Az Asterisk szoftver korai verziói hogy sérülékenységről van szó "- mondta az FBI az internetes bűncselekménnyel foglalkozó központban pénteken tartott tanácsadóban. "A biztonsági rést kihasználva a számítógépes bűnözők használják a rendszert automatikus tárcsázóként, és több ezer telefonhívást generálnak a fogyasztóknak egy órán belül."

A Digium által kifejlesztett szoftver közel egy évtizede áll rendelkezésre, és Számos kritikus hibát találtak a szoftverben. Márciusban a Mu Security kutatói olyan hibát jelentettek, amely lehetővé tenné a támadók számára, hogy átvegyék az Asterisk rendszert.

A Digium nem tudta, milyen sebezhetőséggel jár az FBI a tanácsadása során. Ugyanakkor John Todd, a cég Asterisk nyílt forrású közösségi igazgatója úgy véli, hogy valószínűleg ez a márciusi hiba. Ez a sebezhetőség "alapvetően lehetővé tette számodra, hogy átvegye egy személy számláját" - mondta. "A lehető legrosszabb esetben több ezer hívást tehetünk egy órán belül."

Azonban az FBI által leírt támadás rendkívül nehéz lenne kihúzni, mondta Todd.

A legtöbb Asterisk rendszert tűzfalak védik vagy más biztonsági szoftvert, és még akkor is, ha valaki hozzáférhet a visherhez, az adminisztrátorok általában korlátozzák a hívások számát, amit egy számla egyszerre tehet, magyarázta. "A legtöbb esetben nem tudnánk több ezer hívást létrehozni egy órán belül."

A hiba az Asterisk régebbi változatait érinti, de nem a legfrissebb 1.6 verziót.