3CX Anlage gehackt?

[MarH]

Hallo zusammen,

einer unserer Kunden meldete, dass die Telekom Auslandsgespräche nach England registriert hat.
Bei genauerer Betrachtung der CallLogs konnte verzeichnet werden, dass seit dem 30.08. 1:30 Uhr Stundenlange Gespräche nach England geführt werden.

Zur Anlage:

Automatische Updates aktiv
3CX Enterprise 4SC (18.0 Update 4 (Built 965))
Firewall aktiv

Nebenstelle & Passwort Sicher (also kein NST10 Passwort 10 oder so)

Telekom Anschluss mit Einwahl über Anschlusskennung SIP

• Call or Registration to +448704495060@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 603 Decline; from IP:217.0.29.33:5060
  SIP Server ID: 12294 09/05/2022 12:32:05 AM
• Call or Registration to +448704495060@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 603 Decline; from IP:217.0.29.33:5060
  SIP Server ID: 12294 09/05/2022 12:32:01 AM
• Call or Registration to +448704495062@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 408 Request Timeout; from IP:217.0.29.33:5060
  SIP Server ID: 12294 09/04/2022 11:33:12 PM
• Call or Registration to +448704495062@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 606 Not Acceptable; from IP:217.0.29.33:5060
  SIP Server ID: 12294 09/04/2022 10:36:02 PM
• Call or Registration to +448704495058@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 603 Decline; from IP:217.0.29.33:5060
  SIP Server ID: 12294 09/02/2022 1:36:58 AM
• Call or Registration to +448704495059@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 606 Not Acceptable; from IP:217.0.29.33:5060
  SIP Server ID: 12294 09/01/2022 11:15:15 PM
• Call or Registration to +448704495056@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 606 Not Acceptable; from IP:217.0.29.33:5060
  SIP Server ID: 12294 08/31/2022 10:38:54 PM
• Call or Registration to +448704495056@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 606 Not Acceptable; from IP:217.0.29.33:5060
  SIP Server ID: 12294 08/31/2022 10:25:23 PM
• Call or Registration to +448704495057@(Ln.10001@Deutsche Telekom-2) has failed. 217.0.29.33 replied: 606 Not Acceptable; from IP:217.0.29.33:5060
  SIP Server ID: 12294 08/31/2022 7:01:41 PM

Call Log von Heute:

NAME (10) ist Anonymisiert worden....

09/05/2022 1:34:22 AM	+448719198880	+448719198880	00:11:21
09/05/2022 1:34:09 AM	NAME (10)	+448719198880	00:00:09
09/05/2022 1:09:12 AM	+448719198881	+448719198881	00:09:46
09/05/2022 1:08:52 AM	NAME (10)	+448719198881	00:00:05
09/05/2022 12:59:38 AM	+448719198881	+448719198887	00:08:55
09/05/2022 12:59:30 AM	NAME (10)	+448719198881	00:00:03
09/05/2022 12:45:48 AM	+448719198880	+448719198880	00:13:14
09/05/2022 12:45:38 AM	NAME (10)	+448719198880	00:00:05
09/05/2022 12:32:31 AM	+448719198880	+448719198880	00:09:18
09/05/2022 12:32:16 AM	NAME (10)	+448719198880	00:00:09
09/05/2022 12:20:59 AM	+448719198880	+448719198880	00:09:23
09/05/2022 12:20:49 AM	NAME (10)	+448719198880	00:00:06

Für mich sieht es aus als würde die 3CX als Relay verwendet werden, ist hierzu etwas bekannt?

 

[Marc_3CX]

Hallo @MarH ,

schau mal hier:

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

 

[forum-name-787878]

Hallo MarH@, konntest du die Situation aufklären?

 

[matictec]

Die Logs sagen hier leider nicht genug aus, aber man kann davon ausgehen, dass jemand den Zugang zu der Nebenstelle übernommen hat. Passwort für diese Nebenstelle sofort ändern und wichtig auch, die Maßnahmen wie von @Marc_3CX verlinkt, umsetzen. Es ist auch möglich, dass jemand Zugriff auf den E-Mail-Account erlangt hat, daher nach Kennwort-Änderung beobachten und auch das Smartphone ggf. prüfen.

 

[Thomas R.]

Hallo,
bei uns genauso. Am 4.9. ab 1 Uhr wurde versucht nach England anzurufen.
Zum Glück darf hier keiner dahin telefonieren. Haben das Kennwort geändert und nun Mal schauen....

 

[bitn2]

Bitte ALLE Kennwörter ändern und vor allem das Admin Kennwort! Der Rest siehe oben...

 

[forum-name-787878]

Hallo @MarH

ist bei all deinen Nebenstellen dieses Häkchen aktiviert? (per Default ist es aktiviert)

[ x ] Anmeldung außerhalb des LANs unterbinden (externe Nebenstellen mit direkter SIP-Verbindung/STUN werden blockiert)

Siehe Benutzer, Register Optionen das vierte.

 

[blau34]

Bei uns ist das auch aufgetreten. Bei einer Nebenstelle. Trotz komplett neu aufsetzen (Firmware und einrichtung) des Phones inkl. Kennwortänderung kamen wieder anrufversuche. Satelliten nummern. Zum Glück ist das alles Black listet. Ich habe den Verdacht das auf dem Phone ein Trojaner ist. Ist ein älteres Polycom. Ich habe das jetzt komplett vom Netz genommen. Nebenstelle ist erst mal deaktiviert.

 

[Thomas R.]

Guten Morgen,
bei uns wurde der Anruf über den Webclient versucht. Trotz starkem Passwort.
Wir setzen nur noch Handys ein und das besagte Handy (Nebenstelle) war aus.
Ich habe den Webclient Zugriff erst mal abgeklemmt und seit dem ist Ruhe.
Grüße aus OWL

 

[forum-name-787878]

Hallo,

folgendes kann man m.W. nach nicht mit einem klick konfigurieren/sehen:
>telefonieren über webclient verbieten, aber über handy-app erlauben

 

[bitn2]

Hallo,

folgendes kann man m.W. nach nicht mit einem klick konfigurieren/sehen:
>telefonieren über webclient verbieten, aber über handy-app erlauben

Doch ganz einfach, dem User das Kennwort nicht geben.

 

[bitn2]

Guten Morgen,
bei uns wurde der Anruf über den Webclient versucht. Trotz starkem Passwort.
Wir setzen nur noch Handys ein und das besagte Handy (Nebenstelle) war aus.
Ich habe den Webclient Zugriff erst mal abgeklemmt und seit dem ist Ruhe.
Grüße aus OWL

Wichtig ist es ALLE Kennwörter zu ändern und auch das Admin Kennwort.