Ataque global a servidores VOIP atinge 25 corporações brasileiras
A Check Point Research (CPR), braço de Inteligência em Ameaças da Check Point, descobriu uma operação de fraude cibernética liderada por hackers em Gaza, Cisjordânia e Egito, com mais de 10 mil ataques documentados desde o início de 2020. Os hackers usam grupos privados do Facebook para anunciar seus serviços e compartilhar tutoriais de exploração passo a passo, levando ao comprometimento de servidores de voz sobre IP (VoIP) de mais de 1.200 organizações em mais de 60 países nos últimos 12 meses. Uma vez inseridos nos servidores, esses hackers monetizam esse acesso vendendo as chamadas geradas automaticamente e/ou forçando os sistemas a ligar para números premium para cobrar taxas.
As perdas com fraudes de telecomunicações globais ultrapassam US$ 28 bilhões, de acordo com a CFCA (Communications Fraud Control Association), com a invasão de PBX VoIP sendo um dos cinco principais métodos de fraude usados, por meio do qual foram geradas centenas de milhares de dólares aos cibercriminosos. Os cinco principais países com as organizações mais visadas, por ordem de maior volume de ataque, são Reino Unido (631 organizações), Holanda (255), Bélgica (171), EUA (93) e Colômbia (57).
Os setores mais atacados abrangeram governos, militar, seguros, finanças, manufatura, entre outros. O Brasil teve 25 organizações atacadas por esses cibercriminosos. Os demais países com organizações impactadas foram Alemanha, França, Índia, Itália, Canadá, Turquia, Austrália, Rússia, Suíça, República Tcheca, Portugal, Dinamarca, Suécia e México.
Método de ataque
VoIP é uma tecnologia que permite que uma pessoa faça chamadas de voz usando uma conexão de Internet de banda larga em vez de uma linha telefônica normal. Por exemplo, chamadas feitas pelo WhatsApp usam tecnologia VoIP. Nesta pesquisa observou-se que os hackers se conectam (“dial-up”) com a finalidade de lucrarem ao obter acesso ao servidor VoIP de uma organização-alvo. O pesquisador da Check Point, Adi Ikan, resumiu o método de ataque em três etapas:
1. Os hackers procuram sistematicamente sistemas VoIP que podem ser vulneráveis.
2. Os hackers atacam sistemas VoIP selecionados, explorando várias vulnerabilidades.
3. Os hackers monetizam seu acesso aos sistemas comprometidos com a venda de chamadas, que podem ser geradas automaticamente para receber seu acesso, ou, então, forçam o sistema a ligar para números premium que cobram taxas.
Além disso, os hackers vendem números de telefone, planos de chamada e acesso ao vivo a serviços VoIP comprometidos de organizações-alvo para quem der o lance mais alto, que poderá, então, explorar esses serviços para seus próprios fins. Em alguns casos, os hackers espionaram ouvindo as chamadas de organizações-alvo.
O ataque explora a CVE-2019-19006, uma vulnerabilidade crítica no Sangoma PBX, que concede ao atacante o acesso de administrador ao sistema, dando-lhe controle sobre suas funções. Os pesquisadores da Check Point documentaram inúmeras tentativas de ataque em todo o mundo na primeira metade de 2020 relacionadas a essa percepção inicial. Posteriormente, os pesquisadores foram capazes de expor todo o fluxo de ataque do grupo, desde a exploração inicial da falha CVE-2019-19006 , que concede direitos de administrador ao sistema de telefone VoIP do Sangoma, até uploads codificados de arquivos PHP que alavancam o sistema comprometido.
Para mais detalhes técnicos sobre essa operação de fraude cibernética, acesse: http://blog.checkpoint.com/2020/11/05/whos-calling-gaza-and-west-bank-hackers-exploit-and-monetize-corporate-voip-phone-system-vulnerability-internationally/
