به گزارش کارگروه امنیت سایبربان؛ تحلیلگران تهدید از کمپین بزرگی پرده برداری کردند که سرورهای تلفنی سیستم تلفنی تحت شبکه (VoIP) الستیکس یا همان Elastix را طی یک دوره سه ماهه با بیش از 500 هزار نمونه بدافزاری مورد هدف قرار داده است.
الستیکس یک نرم افزار سرور ارتباطی یکپارچه است که خدماتی چون IP PBX، E-mail، پیام رسانی آنی، فکس و موارد بسیاری را به صورت یکچا فراهم کرده است. این نرم افزار دارای یک رابط کاربری تحت وب است که قابلیت های متعددی را به همراه دارد. Elastix بر مبنای پروژه های متن باز استریسک، FreePBX، HylaFax، Openfire . Postfix قرار دارد. این بستهها امکاناتی چون PBX، فکس، پیام رسانی آنی و عملیات های ایمیلی ارائه میدهند.
مهاجمین احتمالا در این کمپین آسیب پذیری CVE-2021-45461 با نمره شدت 9.8 از 10 را مورد بهره برداری قرار داده اند.
مهاجمین این آسیب پذیری را از دسامبر 2021 مورد بهره برداری قرار داده اند و کمپین اخیر نیز ظاهرا به این نقص امنیتی مرتبط است.
محققین امنیتی واحد 42 پالو آلتو مدعی هستند هدف مهاجمین، کاشتن یک وب شل PHP بوده است که می توانست فرمان های دلخواه را بر روی سرور ارتباطی هدف اجرایی کند.
محققین ادعا دارند بازیگران مخرب بین دسامبر 2021 و مارس 2022 توانسته اند بیش از 500 هزار نمونه بدافزاری منحصر به فرد را بر روی سیستم هدف اجرا کنند.
این کمپین همچنان فعال است.
نشانی آی پی هر دو گروه در هلند مستقر است اما رکورد های DNS این کمپین، نشان دهنده ارتباطاتی با چندین سایت روس هستند.
