XS4ALL-klanten doelwit SIP-scanning
Klanten van internetprovider XS4ALL zijn al enige weken het doelwit van SIP-scans. Op 11 juli waarschuwde XS4ALL Chief Security Officer Scott McIntyre voor een enorme toename van het aantal SIP-scans. Het zou zelfs het op een na meest gescande doelwit zijn. McIntyre adviseerde klanten dan ook om SIP indien mogelijk te firewallen en de logs goed te monitoren.
SIP, wat staat voor session initiation protocol, wordt onder andere gebruikt voor VoIP. SIP-telefoons laten gebruikers via VoIP bijvoorbeeld bellen. Volgens McIntyre gaat het voornamelijk om SIP OPTIONS scanning, zo laat hij tegenover Security.nl weten. Er zijn verschillende tools beschikbaar, zoals Sipvicious, waarmee één of meerdere SIP-servers zijn te scannen. Aan de hand daarvan kan een aanvaller een database van het soort SIP-apparaten, gebruikte software en andere informatie samenstellen.
Firewall
McIntyre merkt op dat het voorlopig nog alleen om fingerprinting gaat. "Het scannen en verzamelen van gegevens over het type SIP-apparaten dat antwoord op de scans geven." Volgens de CSO zitten er allerlei soorten kwetsbaarheden in SIP-apparaten en dan met name bepaalde Asterisk en Cisco Call Manager producten. "In alle waarschijnlijkheid zijn de mensen die deze scans uitvoeren opzoek naar iets specifieks, maar ik weet niet zeker wat dat is."
"De meeste eindgebruikers kunnen eenvoudig het SIP protocol firewallen als ze een door de provider geleverde SIP-oplossing gebruiken, zoals Internet Bellen van XS4ALL, maar dit wordt lastig als ze hun eigen SIP-server hebben en gebruiken om verbinding te maken met anderen op het internet. Het is nog steeds mogelijk, maar het kost meer tijd", laat McIntyre weten. Sinds 28 juli is het aantal SIP-scans verder toegenomen. Inmiddels worden XS4ALL-klanten door 182 hosts gescand.
Volgens de link http://blog.sipvicious.org/ is het vlot te merken als je SIP-scanning hebt: je bandbreedte neemt drastisch af, al denk ik dat alleen diegenen die videobellen à la Skype dat zullen merken omdat hun videoconnectie vaak wegvalt.
Verder denk ik dat dit een typisch geval gaat worden van ID-fraude; dat men op eenvoudige wijze op jouw kosten gaan bellen naar dure landen (denk aan Nigeria?). Dus ook hier geldt dan weer dat je je zaken goed af moet schermen middels firewall of IP-rules....
Ik draai zelf een stickey honeypot (Labrea) in een klein subnetje en zie daar al een paar weken scans naar poort 5060 voorbij komen. Ook het 'internet storm center' van SANS heeft er wat info over:
http://isc.sans.edu/portgraph.html?_jpg_csimd=1&token=b01fdd8e1509976cc5284900175882ddec2a3f7a&start_month=6&start_day=1&start_year=2010&end_month=7&end_day=30&end_year=2010&port=5060&leftgraph=sources&rightgraph=targets&range=Y&submit=Update
.
.
Heel simpel: als blijkt dat door SIP- cq ID-fraude jouw telefoonkosten drastisch zijn gestegen kun je KPN daar verantwoordelijk voor stellen omdat ze jou niet de gelegenheid hebben gegeven de zaak afdoende te beveiligen, laat staan dat ze daar zelf überhaupt iets aan gedaan hebben.
Wat je hier in ieder geval tegen kunt doen is simpel en vereist weinig kennis:
Zet in je router een ACL die het verkeer tussen jouw PBX en de SIP server van je provider toe laat.
Daar onder zet je nog een rule die standaard al het verkeer van en naar jouw PBX blokkeerd/dropt.
Op deze manier ben je redelijk veilig voor sip hacking. Doorgaans is het genoeg om dit alleen voor het SIP en eventueel IAX protocol te doen TCP/UDP 5060 - 5080 (of wat voor range je ook hebt) RTP is niet interessant om te ACLen omdat er zonder SIP of IAX toch geen sessie opgezet kan worden.
Wees verder gewoon voorzichtig met de poorten die je open zet naar je PBX. SIP en RTP zijn genoeg, ga daarom ook geen andere poorten naar services zoals http, mysql, ssh telnet etc.. open zetten dit maakt het geheel alleen maar exploit gevoeliger en een gehackte PBX gaat je gewoon serieus veel geld kosten.
Heel simpel: als blijkt dat door SIP- cq ID-fraude jouw telefoonkosten drastisch zijn gestegen kun je KPN daar verantwoordelijk voor stellen omdat ze jou niet de gelegenheid hebben gegeven de zaak afdoende te beveiligen, laat staan dat ze daar zelf überhaupt iets aan gedaan hebben.
Daarnaast is de gemiddelde KPN-internet+bellen-klant niet zo technisch onderlegd en dus zal je "de eerste zijn" die er iets over te melden zou hebben.
Het beste is gewoon om je Asterisk zo in te stellen dat je voor je extensions geen dynamische IP-adressen accepteert en voorbij je firewall/NAT-modem vooral niet echt scheutig zijn met "friend" in de extension-configuratie.
Als je inter-Asterisk verkeer hebt, kun je dat ook beter via IAX laten lopen dan via SIP.
.
Het gaat om mensen die een sip server draaien, niet om modems die als sip client ingesteld zijn, dus *dat* gaat je geen hoge rekening opleveren..
Aan de andere kant heb ik geen idee of de meeste providers het nog steeds toelaten om een nieuw sip password aan te vragen online, een wachtwoord laten wijzigen via een gehackte pc en rottigheid uithalen met die voip account gebeurt inmiddels al.
Verder worden accounts niet alleen verkocht aan belhuizen, maar er wordt ook mee gebeld naar internationale "0900" nummers waar de eigenaar van een dergelijk nummer geld mee verdient.
Als laatste zien we dat bedrijven een VoIP PBX aan het netwerk hangen zonder het standaard wachtwoord aan te passen.
Naar mijn mening is een ADSL modem met 2 VOIP/SIP poorten te makkelijk te hacken en kun je hier als eenvoudige gebruiker niet tegen ondernemen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.