Sistema compromesso

[filippodei]

Salve a tutti
Il sistema 3CX ultima versione disponibile ed ospitato su aws light sail è stato sicuramente compromesso. Ero stato avvisato dal provider sip per dei blocchi anti frode scaturiti da un loro controllo strane telefonate estere. Verificato ed in effetti vi erano. Allora ho rigenerato tutti gli interni con certificati QR code etc etc. impostato l’accesso alla console solo dal mio ip pubblico statico dell’ufficio. Cambiato tutte le password con password ultra complesse auto generate. Abbassato al minimo tutte le soglie della pagina anti hackersggio. Tolto tutte le app Windows dai vari computer e obbligato tutti a utilizzare solo web client da chrome. Ho due sedi e ognuna di esse ha un sbc Windows. Ebbene pensavo di aver messo in sicurezza e invece tutt’ora si sono presentati tentativi e chiamate dagli interni. Come se un fantasma le facesse partire. Si sente attivare l’alto parlante del viva voce e via. Ho praticamente bloccato tutte le telefonate estere e lasciato attive solo quelle nazioni con cui in effetti lavoriamo ma comunque sia non basta dato che le chiamate a Monaco per esempio di oggi hanno rifatto mettere in blocco antifrode il mio provider sip. Uff….consigli ? Oppure qualche contatto a pagamento di aziende specializzate per la bonifica ? Se portassi tutto da auto hosted a 3CX hosted sarebbe utile ? Grazie mille.

 

[Luca.San]

Ciao
Il problema è su entrambe le sedi?

Dai log cosa vedi?

 

[filippodei]

Ciao
Il problema è su entrambe le sedi?

Dai log cosa vedi?

Il problema è su entrambe le sedi. Come maggiore numero di interni coinvolti una sede è messa peggio dell’altra. Non riesco a decifrare i log per capire dove sia il problema. Non mi era mai capitato prima.

 

[filippodei]

Aggiungo elenco dei telefoni che magari essendo modelli non più recentissimi potrebbero essere la causa del problema? sono tutti sotto sbc windows per ciascuna sede. grazie mille

 

[Luca.San]

Con wireshark hai provato? Fai una cattura per un periodo in cui hai delle intrusioni, scaricala e aprila con wireshark. Cerca di capire da che ip ti partono le chiamate.

 

[filippodei]

La cosa preoccupante è che sto capendo guardando i log nel dettaglio che l’indirizzo ip è proprio quello della mia instansa aws light sail ….ma come è possibile ? Mi hanno hackerato aws ?

 

[Luca.San]

Possibile...
Uso solo cloud 3cx .... Non riesco ad andare oltre

 

[filippodei]

A questo punto potrebbe essere utile anche per me passare a cloud 3cx…già ci stavo pensando. Mi sa che questa è la spinta definitiva

 

[CBL]

Nel manuale di 3CX ho trovato questo:
PIN di protezione È possibile configurare un interno per consentire le chiamate in uscita
solo dopo che l'utente immette un codice PIN. Per sbloccare l'interno, l'utente compone 777
seguita dal PIN e #. Il PBX informa l'utente che è stato concesso l'accesso. L'utente può
quindi procedere a comporre il numero desiderato verso l’esterno.
Un pò macchinoso ma per tamponare.....
Pannello di controllo->Utenti->n° interno->Opzioni

 

[filippodei]

Nel manuale di 3CX ho trovato questo:
PIN di protezione È possibile configurare un interno per consentire le chiamate in uscita
solo dopo che l'utente immette un codice PIN. Per sbloccare l'interno, l'utente compone 777
seguita dal PIN e #. Il PBX informa l'utente che è stato concesso l'accesso. L'utente può
quindi procedere a comporre il numero desiderato verso l’esterno.
Un pò macchinoso ma per tamponare.....
Pannello di controllo->Utenti->n° interno->Opzioni

come extrema ratio potrebbe anche andare. da tener presente grazie per la dritta. per ora ho spostato tutto su 3cx hosted e passato l'intera giornata di ieri a resettare interni che si dimostravano compromessi, ovvero tutti....e oggi, asp...fammi toccar ferro....forse si inizia a vedere la luce. grazie mille lo stesso cmq perchè è una dritta non da poco