Hackers estão ativamente explorando sistemas FreePBX utilizando um mecanismo de persistência altamente resiliente de seis camadas. A campanha foi atribuída com alta confiança ao ator de ameaça INJ3CTOR3, conhecido por visar infraestrutura de VoIP para ganho financeiro desde 2019. A operação utiliza um dropper Bash multi-estágio que instala uma família de webshell PHP anteriormente não documentada, denominada JOMANGY.
Detalhes Técnicos
Mecanismo de Persistência: Seis camadas, altamente resiliente.
Ator de Ameaça: INJ3CTOR3, com alta confiança.
Objetivo: Visar infraestrutura de VoIP para ganho financeiro.
Ferramentas Utilizadas:
Dropper Bash multi-estágio.
Família de webshell PHP: JOMANGY.
Início das Atividades: 2019.
Relevância para Threat Intelligence
Este caso é relevante porque destaca a sofisticação e a resiliência dos mecanismos de persistência utilizados por atores de ameaça para comprometer sistemas VoIP. A capacidade de manter o acesso mesmo após tentativas de remoção é crucial para atividades maliciosas prolongadas.
Próximos Passos
Analisar a infraestrutura de VoIP para identificar possíveis vulnerabilidades.
Implementar medidas de segurança para detectar e prevenir a utilização de webshells.
Monitorar atividades de rede para identificar padrões suspeitos.
