Tra dicembre 2021 e marzo 2022, i VoIPserver appartenenti a Elastix sono stati attaccati con oltre 500.000 campioni di malware diversi.
Elastix è un software server per comunicazioni unificate, che riunisce IP PBX, e-mail, messaggistica istantanea, fax e strumenti di collaborazione.
I ricercatori ipotizzano che gli aggressori abbiano sfruttato CVE-2021-45461, una vulnerabilità ad alta gravità (9.8) che consente l’esecuzione di codice in modalità remota.
Il loro obiettivo era configurare una shell Web PHP che consentisse loro di eseguire codice arbitrario sugli endpoint compromessi.
Gli esperti dell’Unità 42 di Palo Alto Networks, che per primi hanno individuato la campagna, hanno affermato che due gruppi di attacco separati, utilizzando metodi diversi per sfruttare le falle di sicurezza, hanno cercato di implementare uno shell script in miniatura, che installa una backdoor PHP e fornisce agli aggressori l’accesso come root.
“Questo contagocce cerca anche di fondersi nell’ambiente esistente falsificando il timestamp del file backdoor PHP installato, in quello di un file gia’ noto sul sistema”, hanno osservato i ricercatori.
Gli indirizzi IP dei gruppi si trovano nei Paesi Bassi, è stato ulteriormente spiegato, ma i dati DNS puntano a siti per adulti russi.
L’infrastruttura di consegna del carico utile è attiva solo parzialmente, al momento.
La campagna è ancora in corso, hanno concluso i ricercatori.
A seconda dell’obiettivo della campagna, i server aziendali sono talvolta un obiettivo di valore superiore rispetto a computer, laptop o altri endpoint aziendali.
I server sono in genere dispositivi più potenti e possono essere utilizzati, ad esempio, come parte di una potente botnet che fornisce migliaia di richieste al secondo.
I server possono anche essere utilizzati per distribuire software di criptovaluta, guadagnando preziose criptovalute per i loro aggressori.
Infine, se gli stessi server, sono condivisi (ad esempio, in un ambiente cloud), una potenziale violazione dei dati potrebbe compromettere più aziende contemporaneamente, comprendendo anche tutti i loro clienti.
Per approfondire la notizia puoi consultare il sito cysecurity.news