Componenti

FBI: Criminali Composizione automatica con sistemi VoIP hacker

Profilo criminale e profilo geografico (Parte 1)

Profilo criminale e profilo geografico (Parte 1)
Anonim

I criminali stanno sfruttando un bug nel sistema di telefonia via Internet di Asterisk che consente loro di pompare fuori migliaia di telefonate truffaldine in un'ora, l'US Federal Bureau of Investigation ha avvertito venerdì.

L'FBI non ha detto quali versioni di Asterisk erano vulnerabili al bug, ma consigliava agli utenti di eseguire l'aggiornamento all'ultima versione del software. Asterisk è un prodotto open source che consente agli utenti di trasformare un computer Linux in una centrale telefonica VoIP (Voice over Internet Protocol).

Nei cosiddetti attacchi Vishing, gli scammer di solito usano un sistema VoIP per configurare un fasullo call center e quindi usa e-mail di phishing per ingannare le vittime e chiamare il centro. Una volta lì, viene richiesto di fornire informazioni private. Ma nella truffa descritta dall'FBI, apparentemente stanno prendendo il controllo dei sistemi di asterisco legittimi per chiamare direttamente le vittime.

[Ulteriori letture: i migliori NAS per lo streaming multimediale e il backup]

"Prime versioni del software Asterisk sono noti per avere una vulnerabilità ", ha detto l'FBI in un avviso pubblicato venerdì a Internet Crime Complaint Center. "La vulnerabilità può essere sfruttata dai cyber criminali per utilizzare il sistema come un combinatore automatico, generando migliaia di chiamate telefoniche per i consumatori entro un'ora."

Il software, sviluppato da Digium, è disponibile da quasi un decennio, e un certo numero di difetti critici sono stati trovati nel software. A marzo, i ricercatori della Mu Security hanno segnalato un bug che poteva consentire a un utente malintenzionato di assumere il controllo di un sistema Asterisk.

Digium non era sicuro di quale vulnerabilità l'FBI stesse citando nel suo advisory. Tuttavia John Todd, il direttore della comunità open source di Asterisk, crede che sia stato probabilmente questo bug di marzo. Quella vulnerabilità "in pratica ti ha permesso di prendere in mano l'account di un individuo", ha detto. "Nel peggiore dei casi, potresti fare migliaia di chiamate in un'ora."

Tuttavia, l'attacco descritto dall'FBI sarebbe estremamente difficile da attuare, afferma Todd.

La maggior parte dei sistemi Asterisk è protetta da firewall o altri software di sicurezza e anche se si può accedere a un viser, gli amministratori in genere limitano il numero di chiamate che un singolo account può effettuare simultaneamente, ha spiegato. "La maggior parte delle volte non si è in grado di creare migliaia di chiamate in un'ora."

Il problema riguarda le versioni precedenti di Asterisk ma non la versione 1.6 più recente, ha affermato.