Asterisk altyapısıyla geliştirilen açık kaynak PBX yazılımı FreePBX’te kritik bir güvenlik açığı keşfedildi. Sangoma’nın güvenlik ekibi, saldırganların 21 Ağustos’tan bu yana yönetici kontrol paneli (ACP) internete açık olan sistemleri hedef aldığını açıkladı. Ekip, saldırının hâlen devam ettiğini ve tüm kullanıcıların sistemlerini koruma altına alması gerektiğini vurguladı.
Kullanıcılar Acil Olarak Güncelleme Yapmaya Çağrıldı
FreePBX güvenlik ekibi, yayınladığı duyuruda saldırıların ACP arayüzüne doğrudan erişilebilen sunucuları etkilediğini belirtti. Yayımlanan geçici yamayla yeni kurulumların korunabileceği ifade edildi. Ancak mevcut sistemlerde açık devam ettiği için kullanıcıların güvenlik duvarı üzerinden yalnızca güvenilen adreslere erişim izni vermesi istendi. Güvenlik ekibinden Chris Maj, 16 ve 17 sürümünde uç nokta modülü yüklü olan ve yönetici giriş ekranı internete açık bırakılan sistemlerin saldırılardan etkilenmiş olabileceğini söyledi.
Saldırıların duyurulmasından kısa süre sonra birçok kullanıcı, sistemlerinin ele geçirildiğini doğruladı. Forumda paylaşım yapan bir şirket, altyapısındaki birden fazla sunucunun ihlal edildiğini ve yaklaşık 3 bin SIP uzantısı ile 500 hattın etkilendiğini açıkladı. Bir diğer kullanıcı ise kişisel sunucusunun saldırıya uğradığını ve saldırganların Asterisk kullanıcısının yetkileriyle komut çalıştırabildiğini söyledi.
Sangoma tarafından paylaşılan bilgilere göre saldırıya uğrayan sistemlerde bazı işaretler tespit edildi. /etc/freepbx.conf dosyasının silinmesi ya da değiştirilmesi, /var/www/html/.clean.sh adlı betik dosyasının bulunması, Apache loglarında modular.php ile ilgili şüpheli kayıtların görülmesi, Asterisk loglarında 9998 uzantısına yapılan olağan dışı çağrılar ve ampusers tablosunda “ampuser” adıyla yetkisiz girişlerin yer alması bu belirtiler arasında gösterildi.
Sangoma, saldırıdan etkilenen yöneticilere 21 Ağustos’tan önce alınan yedeklere dönülmesini önerdi. Ardından güncel yamaların temiz sistemlere kurulması ve tüm kullanıcı ile SIP hesaplarının şifrelerinin değiştirilmesi gerektiği belirtildi. Ayrıca yöneticilerin çağrı kayıtlarını ve faturaları inceleyerek yetkisiz uluslararası aramalara karşı dikkatli olmaları istendi. Şirket, yönetici paneli internete açık olan kullanıcıların sistemlerini derhâl kontrol etmesi gerektiğini vurguladı.
