Problema de hackeo de Elastix

[JorgeCasas]

Hola

el dia de hoy me llamaron de telmex diciendo que desde mi PBX estaban saliendo muchas llamadas hacia áfrica (cosa que no es normal), que revisara y pues avisándome del problema, he estado revisando el log de MySQL y el los en /var/log/asterisk/full y no veo ninguna llamada extraña, todos números locales y celulares locales, hay algún otro lugar donde yo pueda ver o el hacker es tan bueno que saca las llamadas sin que el log las registre, según veo el log nunca estuvo detenido.

cualquier ayuda se agradece

saludos

[Christian Cabrera]

Jorge:

Todo depende de como ocurrió el ataque. Por ejemplo: si el atacante usó el AMI, es posible que los intentos de llamada no hayan quedado registrados.

Para ilustrarlo, haz este ejemplo. Ejecuta desde el *CLI (obviamente reemplazando el número y la troncal por la que te corresponda):

channel originate DAHDI/g0/0445512345678 application playback demo-congrats


Verás que esto no queda registrado en los CDRs, ya que si envias una llamada a una aplicación, nunca hay un canal origen/destino, así que no hay nada que registrar.

Si puedes consigue fecha y hora de los eventos y busca en el full más exhaustivamente. Siempre queda algún rastro de los eventos maliciosos ocurridos.

Saludos.

[JorgeCasas]

Gracias por tu respuesta, voy a pedir horarios a telmex para buscar en esas horas, aunque ya lo he hecho y no veo nada extraño, solo llamadas locales, pero bueno, no hay peor lucha que la que no se hace.

recomiendas tu el uso del firewall de elastix para estos casos?

Saludos

[Christian Cabrera]

Siempre recomiendo doble firewall: uno en hardware y otro en software.

Aquí la primer pregunta es: ¿por qué se metieron? ¿qué tenías expuesto? Seguramente la funcionalidad por la que hayas abierto puertos se puede cambiar por otra que sea más segura. Recomendaría también explorar por allí.

Saludos.

[JorgeCasas]

Hola

por error un administrador dejo abierto el puerto 443 que apuntaba al PBX en el firewall de hardware que hay (lo abrió para hacer un cambio y olvido cerrarlo), ese puerto ya se cerró y la administración únicamente se debe hacer por VPN, yo me refería en especifico al SIP Firewall Elastix.

Saludos