Geisteranrufe

[Fritz Hunziker]

Guten Tag

Wir hatten bereits im Sommer das Problem, dass von einer internen Nebenstelle während dem Wochenende / Nacht in mehr oder weniger regelmässigen Abständen (ca. alle 32 Minuten) Anrufe getätigt wurden. Nach dem Ersatz / Neuprovisionierung der Nebenstelle verschwand das Problem.
Nun ist es aber wieder zurück. Und wieder mit der gleichen Nebenstelle. Ich könnte mir deshalb auch vorstellen, dass dies durch eine bestimmte Nutzeraktion ausgelöst werden kann.

Die Nebenstelle 9344 tätigt selbständig während der Nacht Anrufe auf eine Nummer. Diesmal ist das Ziel ungültig, weshalb es auch niemanden stört. Die Zielnummer kann sich aber auch ändern.
Im Log findet sich folgende Information:

11/15/2021 6:51:41 AM - Leg L:836.1[Extn:9344] is terminated: Cause: BYE from local

11/15/2021 6:51:38 AM - [CM503007]: Call(C:836): Extn:9344 has joined, contact <sip:[email protected]:5060/UDP>

11/15/2021 6:51:38 AM - L:836.2[EndCall:EndCall] has joined to L:836.1[Extn:9344]

11/15/2021 6:51:38 AM - [CM503025]: Call(C:836): Calling T:EndCall:EndCall@[Dev:sip:[email protected]:5483;rinstance=03ca307b03db6947] for L:836.1[Extn:9344]

11/15/2021 6:51:38 AM - [CM503014]: Call(C:836): No known route from Extn:9344 to target: <sip:[email protected]:5060/UDP>

11/15/2021 6:51:38 AM - Call(C:836): from Extn:9344 to 313 doesn't match any outbound rule. No outbound rule could be selected.

11/15/2021 6:51:38 AM - [CM503010]: Call(C:836): Making route(s) from Extn:9344 to <sip:[email protected]:5060/UDP>

11/15/2021 6:51:38 AM - [CM505001]: Endpoint Extn:9344: Device info: Device Not Identified: User Agent not matched; Capabilities:[reinvite, replaces, able-no-sdp, recvonly] UserAgent: [Yealink SIP-T46S 66.86.0.5 805ec09e9efb] PBX contact: [sip:[email protected]:5060]

11/15/2021 6:51:38 AM - [CM500002]: Call(C:836): Info on incoming INVITE from Extn:9344: Invite-IN Recv Req INVITE from 192.168.4.234:5060 tid=4252329048 [email protected]: INVITE sip:[email protected]:5060 SIP/2.0 Via: SIP/2.0/UDP 192.168.4.234:5060;branch=z9hG4bK4252329048 Max-Forwards: 70 Contact: <sip:[email protected]:5060> To: <sip:[email protected]:5060> From: “Extension User“ <sip:[email protected]:5060>;tag=4252225880 Call-ID: [email protected] CSeq: 2 INVITE Allow: INVITE, INFO, PRACK, ACK, BYE, CANCEL, OPTIONS, NOTIFY, REGISTER, SUBSCRIBE, REFER, PUBLISH, UPDATE, MESSAGE Content-Type: application/sdp Proxy-Authorization: Digest username=„XXXXX“XX,realm="3CXPhoneSystem",nonce=„XXXXXXXXXXXX“,uri="sip:[email protected]:5060",response=“XXXXXXXX“,algorithm=MD5 Supported: replaces User-Agent: Yealink SIP-T46S 66.86.0.5 805ec09e9efb Allow-Events: talk, hold, conference, refer, check-sync Content-Length: 285 v=0 o=- 20055 20055 IN IP4 192.168.4.234 s=SDP data c=IN IP4 192.168.4.234 t=0 0 m=audio 12000 RTP/AVP 8 8 8 8 101 a=rtpmap:8 PCMA/8000 a=rtpmap:8 PCMA/8000 a=rtpmap:8 PCMA/8000 a=rtpmap:8 PCMA/8000 a=ptime:20 a=sendrecv a=rtpmap:101 telephone-event/8000 a=fmtp:101 0-15

11/15/2021 6:51:38 AM - [CM503001]: Call(C:836): Incoming call from Extn:9344 to <sip:[email protected]:5060>

11/15/2021 6:51:37 AM - Make call request to number 313 has been sent to device <sip:[email protected]:5060/UDP>

Im Forum habe ich folgenden gleichartigen Bericht gefunden, aber leider auch keine Lösung.
Hat irgendjemand noch eine Idee wie wir dieses lästige Problem lösen können.

LG
Fritz

 

[avraammich_3CX]

Hi Fritz,

hab dir PM gesendet.

 

[Voosjey]

Hallo avraammich und Fritz
eine PM, ist aber nicht sehr nett, wenn andere solche Probleme auch haben, finden die dann keine Lösung.Ich habe mittlerweile auch mit Geisteranrufen zu kämpfen: die Nummer 100 versucht die 100 anzurufen

20.07.2022 13:49:21 - Call to T:Extn:100@[Dev:sip:[email protected]:5060;uniq=FF1DBB87DFECE262C11D5D717969D] from L:4.1[Line:10000<<100] failed, cause: Cause: 486 Busy Here/INVITE from 192.168.30.254:5060

20.07.2022 13:49:21 - [CM503003]: Call(C:4): Call to <sip:[email protected]:0> has failed; Cause: 486 Busy Here/INVITE from 192.168.30.254:5060

 

[avraammich_3CX]

Hallo Voosjey,

eine PM zum starten des Troubleshooting ist hilfreich und Sicher.
Da ich Informationen benötige die nicht öffentlich hier gepostet werden.
Zu deiner Sicherheit.

Dennoch wie auch immer hier folgend Links welche weitehelfen:

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

Ist auch nur nett gemeint.

 

[Voosjey]

Achso Ok, leider funktioniert das alles nicht, ich habe eigentlich sogar alle externe Anrufe gesperrt und trotzdem ruft die 100 sich immer wieder mal selber an und hält den Anruf immer genau für 50 Sekunden, in diesen Sekunden wird dann, da ja logischerweise besetzt ist die Mailbox angeschmissen und die nimmt dann 50 Sekunden nichts auf. ich habe alle Ports von außen gesperrt gehabt, und trotzdem kommt dieser komische Anruf.

 

[avraammich_3CX]

Hi,

Vossjey,

ich denke du hast ein ganz anderes Problem.

Gerne kannst du ein Support Ticket öffnen, damit wir dir weiterhelfen können.