Hackeraggio del 3CX

[itgs]

Mi sono accorto che oggi, per circa un'ora, qualcuno ha tentato di effettuare chiamate internazionali da un interno "dormiente" che uso come test.

Fortunatamente, avendo impostato il blocco sulla maggior parte delle internazionali, non sono stati fatti danni ma sono parecchio perplesso sul come sia potuto succedere nel senso che non ho nessun dispositivo con quell'interno configurato e le credenziali erano di quelle impossibili da beccare generate da 3CX.

Analizzando i log dell'interno specifico rilevo una riga questa notte:

03/01/2021 03:22:08 - OverrideExt.509 has inactive profile override
(che non capisco cosa vuol dire)
e poi a partire da oggi pomeriggio i vari tentativi, tutti uguali cambiando solo il numero di telefono con i relativi rifiuti lato provider.

Vi copio/incollo di seguito alcune righe del log.

Potete darmi qualche consiglio e/o vostro punto di vista su come sia potuto accadere ?

Grazie

04/01/2021 12:45:31 - NAT/ALG check:L:940.1[Extn:509] REQUEST 'INVITE' - some of SIP/SDP headers may contain inconsistent information or modified by intermediate hop
SIP contact header is not equal to the SIP packet source(IPort):
Contact address:10.203.14.108:9348
Received from :84.17.58.16:9348
Media session IP ('c=' attribute) is not equal to the SIP packet source(IPort):
Media session IP: 10.203.14.108
Received from: 84.17.58.16

04/01/2021 12:46:48 - NAT/ALG check:L:944.1[Extn:509] REQUEST 'INVITE' - some of SIP/SDP headers may contain inconsistent information or modified by intermediate hop
SIP contact header is not equal to the SIP packet source(IPort):
Contact address:10.203.14.108:9348
Received from :84.17.58.16:9348
Media session IP ('c=' attribute) is not equal to the SIP packet source(IPort):
Media session IP: 10.203.14.108
Received from: 84.17.58.16

04/01/2021 12:46:49 - Call to T:Line:10011>>0033638007026@[Dev:sip:[email protected]] from L:944.1[Extn:509] failed, cause: Cause: 503 No authentication data for outgoing connection/INVITE from 213.204.30.59:5060

04/01/2021 12:46:53 - NAT/ALG check:L:945.1[Extn:509] REQUEST 'INVITE' - some of SIP/SDP headers may contain inconsistent information or modified by intermediate hop
SIP contact header is not equal to the SIP packet source(IPort):
Contact address:10.203.14.108:9348
Received from :84.17.58.16:9348
Media session IP ('c=' attribute) is not equal to the SIP packet source(IPort):
Media session IP: 10.203.14.108
Received from: 84.17.58.16

04/01/2021 12:46:54 - Call to T:Line:10011>>0033640039875@[Dev:sip:[email protected]] from L:945.1[Extn:509] failed, cause: Cause: 503 Service Unavailable/INVITE from 213.204.30.59:5060

 

[Pierre_3CX]

Hello,
Please open a ticket sending an email to [email protected] so we'll investigate further on this hack case with your logs.

 

[itgs]

Done ! Thank you

 

[Igioz]

come possono avere fatto?
su che porta hanno lavorato, la sip 5060?
ho decine e decine di tentativi io.