Hoy decidí realizar un estudio sobre las vulnerabilidades que sería capaz de encontrar en un entorno como Elastix en México. Me puse mi sombrero blanco y decidí escanear todas las posibles redes del país y buscar cuantos equipos utilizan la distribución antes mencionada (al menos las visibles en el puerto TCP 443), y los resultados fueron alarmantes. Aquí algunas estadísticas:
25.4 millones de hosts escaneados
69 mil tienen el puerto 443 abierto
467 equipos eran Elastix
Aclaro que esto no quiere decir que estos sean todos los equipos Elastix en México. Esto quiere decir que en una noche cualquiera fui capaz de encontrar 467 equipos visibles abiertamente en internet, los demás están tras algún firewall y son invisibles al exterior (¡bien!).
Ahora, para los números del terror:
- 287 tienen algún tipo de dato «secreto» que se puede obtener fácilmente (contraseña de FreePBX, contraseña de Elastix, contraseñas de extensiones)
- los mismos 287 tienen el puerto SIP abierto
- 261 tenían algún tipo de contraseña default para FreePBX
- 26 aún tenían la contraseña de «palosanto» para Elastix
- 31 usan la misma contraseña en FreePBX que en Elastix
- 42 aún usan FreePBX 2.5.x que muestra la contraseña de administrador en texto plano
Y quizá la más sobresaliente:
- 197 usan alguna distribución de Elastix suficientemente vieja que permite descargar el archivo de batch extensions, entregándote el archivo que nombra todas las extensiones del sistema con sus respectivas contraseñas, dando un total de ¡8,300 extensiones disponibles para hacer llamadas en Elastix ajenos!
Esto quiere decir que aún con una tasa de fallo del 50%, tengo 4,150 de posibles extensiones desde las cuales se pueden sacar llamadas sin pagar un solo centavo, ocasionando tráfico VoIP que en pocas horas se convierte en facturas millonarias de teléfono.
Y si creen que exagero, échenle cuentas:
- Supongan que de los 197 servidores visibles, al menos 170 tienen algún tipo de interfaz FXO o E1
- Supongan que en una sesión de ataque promedio, puedo cursar llamadas por el mismo equipo (por la noche) durante unas 4 horas
- Supongamos que promediando la cantidad de canales de E1 y de puertos FXO, puedo cursar 3 llamadas simultáneas por servidor
Esto me da un total de 4 horas * 60 minutos * 3 llamadas simultáneas * 170 servidores = 122,400 minutos de tráfico. Si el destino costara $7/min, hablamos de un total facturado de $856,800, ¡en unas horas!
Y claro que este es el espectro conservador: conozco casos de 2a persona que han tenido facturaciones de $24,000 en una sola pasada. Hagan números, y fácilmente comprenderán por que esto del robo de VoIP está tan de moda y resulta tan redituable.
Obviamente si no quieren convertirse en amigos de lo ajeno, sigan las ya super conocidas medidas de seguridad para cualquier entorno Asterisk:
- Siempre cambien las contraseñas default
- Tampoco usen palabras de diccionario como contraseña
- No den acceso desde el exterior si no se necesita. Esto aplica a los puertos UDP 5060 y TCP 22, 443 (los más comunes)
- User el permit y deny dentro de Asterisk para limitar que IPs se registran en cada extensión.
- No usen contraseñas y passwords iguales (user:100 pass:100)
- Actualicen sus distribuciones a la más reciente versión
- Limiten la cantidad de llamadas simultáneas por extensión (¿Por qué razón Juan Pérez haría 20 llamadas a la vez?)
- Rechazen malas autenticaciones sin dar más detalles (alwaysauthreject=yes) en sip.conf
- Firewall firewall firewall
- Usen fail2ban para defenderse de ataques de fuerza bruta
- Autentiquen al usuario, no solo al teléfono (usen contraseñas post-marcado)
- Nieguen llamadas anónimas provenientes del exterior
- Definan planes de marcación limitados (ojo con el dialplan injection)
Asterisk/Elastix como tal son bastante seguros: es el administrador el que los hace inseguros al obviar cualquier de estos pasos sugeridos. Todos los puntos que aquí se mencionan también se estudian desde nuestros cursos Asterisk
Suerte, y… ¡aseguren sus equipos!
