Hacker wieder am Werk

[anonymous]

Hallo zusammen,

ich habe heute wieder Ärger mit wild telefonierenden Snoms.
Kunde ruft mich gegen 16:30 Uhr an und erzählt mir, dass seine Telefone selbständig telefonieren und irgend welche spanischen und engliche Mailboxen angingen. Wir hatte vor einem halben Jahr schon einmal so ein Problem. Es wurden heute abend 120,00 Euro Kosten verursacht.
In der Anlage sind Auslandsgespräche eigentlich gesperrt.
Wie ist das möglich?
Auf beiden Seiten ist je ein Unitymedia Anschluß mit einer Fritzbox und öffentliche IP-Adressen. Dahinter ist noch ein Vigor-Router, dann die 3CX Anlage. Auf dem Rechner läuft zusätzlich Kaspersky Internet Security. Die beiden Büros sind über einen Lan-Lan Tunnel per VPN gekoppelt. Dazu kommt noch ein 1 Mann Büro, welches auch über VPN verbunden ist.
Wie kann ich das Netz richtig schützen, wenn die jetzigen Vorkehrungen nichts nützen. In den letzten Tagen hatte ich vermehrt geblockte IP-Adressen aus Russland und Israel. Nach 2 Fehlanmeldungen werden sie geblockt. Das bedeutet doch, dass sie an den Firewalls vorbei kommen müssen. Okay, der Port 5061 ist für die Sipbaseanbindung frei gegeben.
Bei der ersten Hackerattacke war ein Notebook mit Viren und Trojaner verseucht. Also ein internes Problem! Die hatten irgendwann von einer Nebenstelle ein Passwort geknackt und telefonierten über diese Nebenstelle. Heute wurde es über mehrere Nebenstellen durchgeführt. Die Nebenstellen haben alle 16 stellige Passwörter.

Meine Frage, wie schützt Ihr Eure Anlagen?
Wäre es sinnvoller, eine Virtuelle Anlage anzumieten, zb. bei Sipbase?

Übrigens ist die 10er Version mit SP6 im Einsatz.

Grüße,
Michael Heiming

 

[groundhog]

Ich würde zunächst mal selbst nachsehen, was da passiert bzw. in den Protokollen steht.

Wenn die Anrufe tatsächlich von den Endgeräten ausgehen, dann Tippe ich mal eher auf einen Trojaner, der die Rufe über TAPI auslöst.
Die 16-stelligen Passworte werden die Russen ja wohl noch nicht geknackt haben.

 

[anonymous]

So wie sich das anhört ist hier keine wirkliche Firewall im Einsatz.

Ein Router ist nicht ausreichend als Schutz. Eine ip Telefonanlage gehört hinter eine Firewall und zwar eine Content Firewall.
Es hört sich fast an, als wenn die 3CX gehackt wurde.

Gehen diese Auslandsgespräche wirklich über die 3CX oder telefonieren die Snoms direkt?

Es ist schon sehr bedenklich wenn sich ein Trojaner ins innere vorarbeiten kann. Dann braucht es keine Passwörter mehr.

Evtl. auch Fritzbox oder Vigor in besitzt genommen.

Siehe mal hier http://www.heise.de/newsticker/meldung/Und-taeglich-gruesst-die-Router-Luecke-1846882.html

Was für Rechner sind im Einsatz? Hoffentlich keine XP Rechner mehr!

PS: Und auch eine Content Firewall muss regelmäßig überprüft und gewartet werden!