Cyberkriminelle nutzen sechsschichtige Persistenz, um Zugriff auf kompromittierte FreePBX-Systeme zu erhalten

Sicherheitslage und Risiko

Beide Schwachstellen sind in aktuellen FreePBX-Versionen behoben; jedoch lässt das Patchen eines bereits infizierten Hosts die Cron-Infrastruktur weiterhin aktiv und ermöglicht dem Malware vollständig, sich erneut zu installieren. Hacker nutzen eine sechsschichtige Persistenz, um den Zugriff aufrechtzuerhalten.

Was diese Kampagne besonders macht, ist die Art und Weise, wie ihre Persistenz entwickelt wurde. Die sechs Kanäle sind keine unabhängigen Backups, die parallel vorliegen. Jeder einzelne Kanal kann jeden anderen Kanal rekonstruieren, wodurch die Infektion tatsächlich selbstheilend ist.

Das Löschen von fünf der sechs Kanäle verbleibt dem Angreifer ein Wiederherstellungsfenster, das sich in Minuten misst. Der erste Kanal fragt den Command-and-Control-Server des Angreifers alle ein bis drei Minuten über geplante Cron-Jobs ab, lädt den Dropper kontinuierlich erneut herunter und führt ihn erneut aus.

Sicherheitslage und Risiko

Das zweite injiziert Code in Shell-Profil-Dateien und feuert bei jedem Root-Login sowie bei jedem Systemneustart eine Reinfektions-Payload ab.

Das dritte speichert acht unveränderliche crontab-Kopien in versteckten Verzeichnissen, die durch eine Dateieigenschaft geschützt sind, die das Löschen stumm blockiert – selbst durch root – und wird von zwei separaten Wiederherstellungsschleifen unterstützt.

Das vierte ist ein Prozess-Watchdog, der den Dropper sofort erneut herunterlädt, wenn die Beacon-Prozesse verschwinden. Das fünfte legt Webshell-Kopien in mehr als zwölf Pfaden im FreePBX-Webbaum ab, viele davon als unveränderlich gesperrt; eine einzelne authentizierte Anfrage an jedes überlebende Exemplar rekonstruiert den vollständigen Infektionsstapel.

Technik und Auswirkungen

Das sechste ist ein PHP-Executor im FreePBX-High-Availability-Modul, der privilegierte Befehlsausführung unabhängig von allen anderen Kanälen ermöglicht. Achtzehn versteckte Konten und nahezu null Detektion Die Infektion legt zudem stillschweigend 18 Backdoor-Konten über drei Ebenen ab.

Neun Benutzerkonten verfügen über vollständige Root-Rechte, acht operieren auf Ebene des Service-Kontos, und eines wird über MySQL in die FreePBX-Web-Panel-Datenbank injiziert. Kontonamen wie asterisk, freepbxuser und spamfilter wurden bewusst gewählt, um sich in die Liste legitimer Konten einzufügen, die Administratoren erwarten würden.

Vor dieser Analyse verfügte JOMANGY über keine öffentlich dokumentierten Informationen und verwendet eine zweischichtige Verschleierung, die Base64-Kodierung und ROT13 kombiniert, um automatisierte Scanner zu umgehen.

Zum Zeitpunkt der Recherche waren die

Zum Zeitpunkt der Recherche waren die primäre Dropper-Datei in nur vier von 76 Antiviren-Engines erkannt, während k.php und wr.php keine Erkennungen aufwiesen.

Personen, die mit einer bestätigten Infektion konfrontiert sind, werden dringend aufgefordert, das System von einem sauberen Baseline-Image neu aufzubauen, da das Aktivieren auch nur eines einzigen Kanals dem Angreifer ausreicht, um innerhalb weniger Minuten den gesamten Infektionsstapel wiederherzustellen. Indikatoren für Kompromittierung (IoCs):-