3cx vermutlich gehackt

[digitalosaurus]

Hallo an alle!
Ich wende mich an euch weil ich gestern eine "traurige" Erfahrung machen musste.

Es wurden von der Telefonanlage eigenständig Anrufe ins Ausland (Jugoslawien) unternommen. Auch verwirren mich auch Einträge in der Rufliste die von einer externen Nummer zu einer anderen Externen gehen.

Ich denke dass die Anlage gehackt wurde. Trotz Blacklists elendslanger Passwörter, Zugriff nur aus dem Unternehmensnetz und ähnlichen.
Draufgekommen bin ich nur weil mein SIP-Trunk Provider eine Kostensperre eingerichtet hat und mich deswegen kontaktiert hatte.

Virenscanns lassen auch nichts erkennen.

Bin ratlos und bitte daher um Hilfe.

lg

 

[avraammich_3CX]

Hi @digitalosaurus,

die Konfiguration und Sicherheit von einer 3cx Anlage liegt in der Verantwortung des lokalen Systemadministrators. Falsche und nicht unterstützte Konfigurationen können deine Telefonanlage einem ernsthaften Risiko von Betrug und Sicherheitsverletzungen aussetzen.

Darüber hinaus kannst du die Instance/Anlage in eine von 3CX gehostete Umgebung umziehen, in der wir die Sicherheit der Infrastruktur gewährleisten.

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

Sofern alle Benötigten Punkte in obigen Links beachtet hast ist eine 3cx Anlage sicher.

Falls logs im Ausführlichen Modus liefen im moment der komischen anrufe kannst du evtl. in logs prüfen von wo (Public IP) sich der Angreifer verbunden hat.
Web Client z.B in 3cxManagemenr Console log.

 

[digitalosaurus]

Hi @digitalosaurus,

die Konfiguration und Sicherheit von einer 3cx Anlage liegt in der Verantwortung des lokalen Systemadministrators. Falsche und nicht unterstützte Konfigurationen können deine Telefonanlage einem ernsthaften Risiko von Betrug und Sicherheitsverletzungen aussetzen.

Darüber hinaus kannst du die Instance/Anlage in eine von 3CX gehostete Umgebung umziehen, in der wir die Sicherheit der Infrastruktur gewährleisten.

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

Sofern alle Benötigten Punkte in obigen Links beachtet hast ist eine 3cx Anlage sicher.

Falls logs im Ausführlichen Modus liefen im moment der komischen anrufe kannst du evtl. in logs prüfen von wo (Public IP) sich der Angreifer verbunden hat.
Web Client z.B in 3cxManagemenr Console log.

Danke für die Antwort.
die Telefonanlage wird in Azure gehostet, wurde aber von 3cx provisioniert (soweit ich mich erinnern kann).
Ich habe die Nummern gesperrt.

Meine Verwunderung aber bleibt, da die Länderkennungen in der Telefonanlage gesperrt wurden. Wir benutzen auch zertifikatsbasierte Anmeldungen und auch Zugriffe nur aus dem lokalen Netz. Keiner unserer Computer/Server/Netzwerkgeräte ist mit Viren verseucht. Auch der Zugriff über Webclients ist dauerhaft deaktiviert. Auch wurde kein Login versuch über ein Relay, Login über eine Nebenstelle festgestellt

Das ist das was mich stutzig macht. Dort wo Passwörter wirklich noch nötig sind haben wir 30-stellige.
Bin wie bereits geschrieben echt ratlos

Calllog anbei

Datum/Uhrzeit	Von	An	Gesprächsdauer
28.12.2022 09:13:16	(100)	069910662726	Nicht angenommen
28.12.2022 09:13:00	(100)	069917098872	Nicht angenommen
27.12.2022 10:32:30	(100)	069917098772	Nicht angenommen
27.12.2022 07:16:30	(100)	00972567377477	Nicht angenommen
27.12.2022 07:01:15	(100)	00972567377477	Nicht angenommen
27.12.2022 07:01:11	(100)	00972567377477	Nicht angenommen
27.12.2022 06:55:15	(100)	00972567377477	Nicht angenommen
26.12.2022 06:27:37	+25772003315	(100)	Nicht angenommen
26.12.2022 05:48:39	(100)	00972567377477	Nicht angenommen
26.12.2022 05:35:24	(100)	00972567377477	Nicht angenommen
26.12.2022 05:11:56	(100)	00972567377477	Nicht angenommen
26.12.2022 05:07:11	(100)	00972567377477	Nicht angenommen
26.12.2022 04:54:38	100)	00972567377477	Nicht angenommen
26.12.2022 04:50:41	(100)	00972567377477	Nicht angenommen
26.12.2022 04:44:56	(100)	00972567377477	Nicht angenommen
26.12.2022 04:44:49	(100)	00381677284231	Nicht angenommen
26.12.2022 04:44:30	(100)	00381677284231	Nicht angenommen
26.12.2022 04:44:17	(100)	00381677284218	Nicht angenommen
26.12.2022 04:11:29	(100)	00381677284207	Nicht angenommen
26.12.2022 04:11:28	00381677284141	00381677284206	00:29:48
26.12.2022 04:11:16	00381677284005	00381677284067	00:29:34
26.12.2022 04:11:15	(100)	00381677284141	00:00:05
26.12.2022 04:10:49	(100)	00381677284005	00:00:04
26.12.2022 03:42:13	(100)	00972567377477	Nicht angenommen
26.12.2022 03:40:39	(100)	00972567377477	Nicht angenommen
26.12.2022 03:40:28	(100)	00381677284809	Nicht angenommen
26.12.2022 03:40:11	00381677284873	00381677284846	00:29:48
26.12.2022 03:40:09	(100)	00381677284839	Nicht angenommen
26.12.2022 03:39:57	(100)	00381677284873	00:00:05
26.12.2022 03:39:38	00381677284992	00381677284932	00:29:45
26.12.2022 03:39:21	(100)	00381677284992	00:00:08
26.12.2022 03:37:52	(100)	00381677284005	Nicht angenommen
26.12.2022 03:37:06	(100)	00381677017554	00:00:26
26.12.2022 03:36:14	(100)	00381621432626	Nicht angenommen
26.12.2022 03:36:00	(100)	00381621432626	Nicht angenommen
26.12.2022 03:35:50	(100)	0038163003976	Nicht angenommen
26.12.2022 03:35:09	(100)	00381680156325	Nicht angenommen
26.12.2022 03:34:22	(100)	00381610181516	Nicht angenommen
26.12.2022 03:34:01	(100)	00381600083226	Nicht angenommen
26.12.2022 03:33:50	(100)	0038646200031	Nicht angenommen
26.12.2022 03:33:25	(100)	0038622927234	00:00:24
26.12.2022 03:33:00	(100)	0038632278969	00:00:20
26.12.2022 03:32:30	(100)	0038615555142	Nicht angenommen
26.12.2022 03:32:15	(100)	0038637770886	Nicht angenommen
26.12.2022 03:31:35	(100)	00380980492513	Nicht angenommen
26.12.2022 03:31:27	(100)	00380961797250	00:00:05
26.12.2022 03:30:44	(100)	0037745038045	Nicht angenommen
26.12.2022 03:30:29	(100)	0037740983936	Nicht angenommen
26.12.2022 03:30:17	(100)	00377611983922	Nicht angenommen
26.12.2022 03:29:53	(100)	0037377502850	Nicht angenommen

 

[patrickb]

Derzeit scheint es generell viele Versuche zu geben sich zu Random Anlagen zu verbinden. Ich habe in all meinen Anlagen derzeit extrem viele blocked IPs mit irgendwelchen kuriosen Telefonen und Random User Agents die sich dauernd versuchen anzumelden. Scheint gerade so eine kleine Fraud-Welle unterwegs zu sein. -> Bei mir derzeit aber kein Vorfall.

 

[fxbastler]

Erste Fragen an @digitalosaurus :

1. Welche Versionsnummer hat die 3CX?
2. Ist das eine Windows oder eine Debian Installation dort?
3. Weist das 3CX Audit-Log auf Änderungen hin?
4. Gibt es für diese angewählten Vorwahlen evtl. Einträge unter Einstellungen / Allgemein / Notrufnummern?
5. Ist die E.164 Verarbeitung aktiv?
6. Gibt es CFA (Call Flow Apps, 3CX spezifische Programme) auf der 3CX?