PWA Client gehackt

[ITConsultingNET]

Ich habe hier eine V20 Anlage und wir haben Anrufe von einer Nebenstelle ins Ausland festgestellt.
Kann man feststellen von wo dieser Client den die Verbindung aufgemacht hat.
Langt um das zu unterbinden - 2FA und Passwortänderung?
Für Tipps wäre ich dankbar.

 

[fxbastler]

Kann man feststellen von wo dieser Client den die Verbindung aufgemacht hat.

Schaust du unter Admin / Telefone ob du da fündig wirst. Sonst in den 3CX Protokollen, spätestens wenn die auf Ausführlich stehen. Da sollte das REGISTER und INVITE drin stehen.

Langt um das zu unterbinden - 2FA und Passwortänderung?

auswählen und zurücksetzen:


ggf. externe Authentifizierung anpassen / ändern / unterbinden

Es kann ja auch sein, dass es ein mobiles Endgerät (Smartphone / Tablet mit App) ist dessen Daten leaked wurden. Das ist keine Seltenheit.

Daher die Frage: Woher wollt ihr wissen dass es die PWA App ist die dafür genutzt wurde?

 

[ITConsultingNET]

Wir haben festgestellt das die Verbindung von einer Nebenstellennummer ausgeht. Am PC ist aber nichts feststellbar.
Mein Gedanke war, das jemand die Zugangsdaten erlangt hat und sich extern mit diesen Daten eingeloggt hat. Daher der Gedanke ob man feststellen kann wo von welchem externen Ort das möglich war oder ob wirklich der interne Client schuld war.
Wir haben jetzt fast alle Länder gesperrt, Passwort geändert und 2FA erneuert bez. aktiviert. Sind diese Aktionen genügend und das System abzusichern?

 

[mbehrens]

Wir haben jetzt fast alle Länder gesperrt, Passwort geändert und 2FA erneuert bez. aktiviert. Sind diese Aktionen genügend und das System abzusichern?

Da keiner den tatsächlichen Angriffsvektor kennt, ist das schwer zu sagen. Mein Bauchgefühl sagt mir eher nein.

 

[bitn2]

Mein Bauchgefühl sagt mir eher nein.

Wenn man es wirklich sicher haben möchte, dann nein.

 

[ITConsultingNET]

Was dann, das ganze System neu aufsetzen oder welche Maßnahmen sind deiner Meinung nötig/notwendig?

 

[bitn2]

Der erste Schritt war schon gut alle Passwörter zu erneuern und 2FA zu aktivieren. Zusätzlich solltest du den SIP Port noch auf deinen Provider beschränken. Die Geräte der Nebenstelle, die anscheinend kompromittiert ist, auf jeden Fall prüfen und gegebenenfalls neu aufsetzen.

Beitrag im Thema 'Angriffe auf 3CX-Anlagen'

2. Juni 2025

somit schon mal auf der richtigen Seite.

Hier handelt es sich um klassische Scan/Brute Force Angriffe.

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

• avraammich_3CX

 

[avraammich_3CX]

Hi @ITConsultingNET,

Email Komprimierung auf Benutzer Seite prüfen.
PW Reset betätigen und clients neu provissionieren.
2FA aktivieren für alle Benutzer.
Mit Provider sprechen und sicherstellen dass Anrufe ins Ausland (außer erlaubte Länder) gesperrt werden.

 

[ITConsultingNET]

Vielen Dank für die sehr informativen Antworten.