Wir wollen Ihnen einige Updates zum Supply-Chain-Angriff bei 3CX geben:
- Die Windows Electron App 18.12.425 ist laut Mandiant sicher.
- Der Hauptunterschied zu 18.12.422 besteht darin, dass es mit einem neuen Zertifikat signiert wurde.
- Wir hoffen, diese Version morgen an die Kunden weitergeben zu können (5. April).
- Wir empfehlen weiterhin die Verwendung der PWA Web App.
- Wir bauen derzeit eine neue Version Update 7a - sollte bis nächste Woche in QA sein - diese bietet
- Passwort-Hashing zur erweiterten Datensicherheit
- BLF-Panel für PWA-Dialer.
- Verbesserte Installationsinformationen im Webclient.
- Wir haben nur eine Handvoll Fälle gemeldet, in denen tatsächlich Malware ausgelöst wurde. Und diese Berichte müssen noch überprüft werden. Darüber hinaus wurde nach dem Entfernen der infizierten Dateien mit Antivirensoftware kein weiterer schädlicher ausgehender Datenverkehr beobachtet. Natürlich kann sich das ändern, aber das ist der Stand von heute.
- Wir nutzen die Gelegenheit, um unsere Richtlinien, Praktiken und Technologien zum Schutz vor zukünftigen Angriffen zu stärken.
Wir werden weitere Neuigkeiten veröffentlichen, sobald sie verfügbar sind.
Besonders das mit den Passwörtern: Endlich! TOP!
Ich hatte
@avraammich_3CX schon einen weiteren
Verdacht/Vermutung meinerseits geäußert, dass ggf. auch auf On-Premise Server Schadcode o.Ä. geladen worden sein könnte.
Ich habe Kunden, die auf unerklärliche Weise Opfer von Fraud Angriffen geworden sind. Es wurden Calls ausgeführt (jedoch nicht über die Anlagen selbst, sondern über scheinbar eigens dafür aufgesetzte Anlagen, die den Useragent einer 3CX Anlage vorgeäuscht und sich dann beim SIP-Provider selbst angemeldet haben) und über die Kunden SIP-Trunks Telefonate nach Belarus geführt haben.
Gemeinsamkeit aller betroffenen Kunden (Nur 4 von über 50): Alle 4 Anlage waren über den entsprechenden Provider connected und auf dem damals neusten V7 Build (in dem ja die kompromittierten APPs drin waren), unterwegs. Weiterer für mich spannender Fact: Alle Fraud Calls fanden in der Nacht vom 22.3. auf den 23.3. statt - dem Zeitpunkt, als zum ersten Mal im englischen Forum über mögliche Sicherheitslücken geschrieben/berichtet wurde. Alle anderen Anlagen waren nicht betroffen und auch sonst gab es danach und auch jetzt keine Auffälligkeiten.
Beim Provider selbst gab es auf Nachfrage auch weitere Vorfälle "dieser Art" die sich im Zeitraum um den 20.3 bis 23.3. abgespielt haben und von 3CX Anlagen ausgingen.
Meine Vermutung: Über die kompromittierten APPs wurde auch auf das On-Premise System (in dem Fall Linux) irgendwie Code nachgeladen und dann die Trunk Zugangsdaten aus der DB o.Ä. gefischt und diese dann entsprechend in einer eigenen Anlage genutzt.
Daher meine Frage/Bitte: Könnt ihr das auch checken/checkt ihr das auch?
Ich könnte euch auch ein Image einer solchen betroffenen Anlage bereitstellen, wenn es hilft, denn nach mehrfachen kompletten Scans meiner eigenen Umgebung mit mehreren Forensik-Tools und Virenscannern, einem Check meiner Firewall Logs und einem manuellen Check der ADS etc. kann ich mit an 100% grenzender Wahrscheinlichkeit ausschließen, dass es in meinem System eine Lücke gab.
Wichtig: Es ist eine
Vermutung, keine Feststellung. Es ist nur relativ naheliegend das es ggf. auch etwas damit zu tun haben könnte.
