FBI: Suçlular Hacked VoIP Sistemleri ile Otomatik Çevirme

Suçlular, Asterisk internet telefon sisteminde bir saat içinde binlerce dolandırıcılık telefon görüşmesi yapmasına izin veren bir hatanın avantajından yararlanıyor, ABD Federal Bürosu Soruşturma Cuma günü.

FBI Asterisk'in hangi sürümlerinin hataya karşı savunmasız olduğunu söylemediler, ancak kullanıcılara yazılımın en son sürümüne yükseltme yapmalarını önerdi. Asterisk, kullanıcıların bir Linux bilgisayarını bir VoIP (Voice over Internet Protocol) telefon santraline dönüştürmelerini sağlayan açık kaynaklı bir üründür.

Dolandırıcılık amaçlı saldırılarda, dolandırıcılar genellikle sahte çağrı merkezi kurmak için bir VoIP sistemi kullanırlar. Daha sonra kurbanları merkeze çağırmak için kimlik avı e-postaları kullanın. Bir kez orada, özel bilgi vermek için istenir. Fakat FBI tarafından betimlenen aldatmacalarda, görünüşte, kurbanları doğrudan aramak için meşru Asterisk sistemlerini ele geçiriyorlar.

[Daha fazla okuma: Medya akışı ve yedekleme için en iyi NAS kutuları]

"Asterisk yazılımının erken sürümleri bir güvenlik açığına sahip olduğu biliniyor, "dedi FBI, bir danışma kurulunda Cuma günü İnternet Suçu Şikayet Merkezi'ne gönderildi. "Güvenlik açığı siber suçlular tarafından sistemi bir otomatik çevirici olarak kullanmak için kullanabiliyor ve bu da tüketicilere bir saat içinde binlerce telefonla çağrı yapıyor."

Digium tarafından geliştirilen yazılım neredeyse on yıldan beri mevcuttu ve Yazılımda bir dizi kritik kusur bulundu. Mart ayında Mu Güvenlik'teki araştırmacılar, bir saldırganın bir Asterisk sisteminin kontrolünü ele geçirmesine izin verebilecek bir hata bildirdi.

Digium, FBI'nın danışma belgesine referans veren güvenlik açığı konusunda emin değildi. Ancak, şirketin Asterisk açık kaynak topluluğu yöneticisi John Todd, muhtemelen bu Mart böceğinin olduğuna inanıyor. Bu güvenlik açığı "temelde bir bireyin hesabını ele geçirmene izin verdi" dedi. “Mümkün olan en kötü durumda, bir saat içinde binlerce çağrı yapabilirsiniz.”

Ancak, FBI tarafından açıklanan saldırının çekilmesi son derece zor olurdu, Todd dedi.

Çoğu Asterisk sistemleri güvenlik duvarları tarafından korunuyor. ya da başka bir güvenlik yazılımı ve bir vizör tarafından erişilebilir olsa bile, yöneticiler genellikle herhangi bir hesabın eşzamanlı olarak yapabileceği çağrıların sayısını sınırlar. “Çoğu zaman bir saat içinde binlerce arama yapamayacaksınız.”

Kusur, yıldızın eski sürümlerini etkiliyor ama en güncel sürüm 1.6 değil, dedi.