Zostałem zhakowany - przez Palestyńczyków! ( ͡° ͜ʖ ͡°)

Po tygodniu przebywania w Lublinie (mimo HO zmieniam lokacje co by nie dostać p------c... obłędu od monotonii covidowej) wróciłem w rodzinne strony. Po pewnych pracach wieczornych z lutowaniem (druciarska naprawa kamery IP) spojrzałem na...

Zostałem zhakowany - przez Palestyńczyków! ( ͡° ͜ʖ ͡°)

Po tygodniu przebywania w Lublinie (mimo HO zmieniam lokacje co by nie dostać p------c... obłędu od monotonii covidowej) wróciłem w rodzinne strony. Po pewnych pracach wieczornych z lutowaniem (druciarska naprawa kamery IP) spojrzałem na wyświetlacz mojego telefonu VoIP. 

- Co do ch@!? Na wyświetlaczu wodzę komunikat o aktywnym przekierowaniu połączeń na jakiś długi numer.

Szybkie zapytanie w google na temat numeru telefonicznego - brak danych.

Wygląda jednak na to iż to numer szwajcarski, stacjonarny.
- Co tu się odp... tralalala?!

Loguje się do panelu telefonu voip, a tam wszędzie gdzie możliwe opcje przekazywania połączeń - aktywne, wprowadzony numer zagraniczny.

Ale jak przecież sieć voip ma odcięty internet, poza tym mam voipy w osobnym separowanym vlanie.

Dostałem zimnych potów... ᄽὁȍ ̪ őὀᄿ

Ktoś dostał się do mojej sieci domowej - spenetrował ją i dobrał się do VoIP. Ale czy tylko VoIPa? Jak do tego doszło? Słabe haslo wifi, jakiś serwer oberwał po SSH? Może któryś z Windowsów dostał syf? Ale sieć użytkowników domowych nie ma dostępu do vlanu VOIP.
Szybkie logowania po terminalach ssh, brak podejrzanych logów na temat dostępu z ssh. Centralka też wygląda na czystą, jednak w logach ma wiele udaremnionych prób dzwonienia na nietypowe numery telefoniczne. 

Pierwsze podejrzenie - terminal z windows. Ma w prawdzie dostęp do sieci voip (ale tylko po warstwie trzeciej) no i wskazuje na niego RDP z internetu. Przegląd logów - nic podejrzanego. Odpalam jednak skaner onlinowy systemu.

Szukamy dalej, w telefonie widzę były aktywne próby przekazywania połączeń przychodzących.

Poddaje analizie logi routerów - nic szczególnego. Zajrzenie do Firewall - NAT.

-A co my tu mamy?

Port 4013 przekierowany z internetu na panel www telefonu Yealink. 

-Ale przecież mają odcięty internet.
Próbuję zestawić połączenie TCP z zewnątrz na tym porcie. No tak telnet się połączył... 

-Po co ja wystawiałem parę lat temu do publika, interfejs voipa... Tomek ty głąbie... 

Między czasie dobrałem się do logów VoIPa - no tak na 2 minuty przed pierwszym połączeniem - niepoprawna próba logowania do konsoli WEB (godzina z logu GMT). IP wskazuje na Palestynę. Szukam danych w google, tak na te telefony istnieje exploit. Mimo zabezpieczenia się hasłem nie jestem pierwszy co ma aktywne przekazywanie połączeń.

Powiem szczerze na tym moment ulżyło mi - czyli nikt nie dostał się do mojej sieci, a jedynie do telefonu VoIP na moim biurku.

Podsumowując czy Palestyńczycy mnie naciągnęli? Nie.

Co przed tym zabezpieczyło.
Po pierwsze mój operator VoIP jest operatorem typu prepraid, zwykle więcej jak 20zł na koncie nie mam. Po drugie blokada numerów premium - zawsze spoko. Po trzecie mimo posiadania kilku numerów TRUNK nie mam skonfigurowanej trasy domyślnej routingu połączeń. Jedynie numery 6 cyfrowe lub zdefiniowane numery alarmowe mogą wyjść na zewnątrz.

Na pewno separacja sieci VoIP od internetu i sieci domowej też była na plus.

Dlaczego do tego doszło?

Wystawiłem panel logowania na niestandardowym porcie do internetu. Mimo ustawionego niestandaryzowanego hasła, telefon musiał oberwać jakimś exploitem i się otworzył. 

Jaki z tego morał - nie wystawiajcie paneli zarządzania urządzeniami sieciowymi do internetu mimo zmiany hasła i protu.
A ja własnie siadam do resetu telefonu. Trzeba też trochę zabezpieczyć tego voipa ( ͡° ͜ʖ ͡°)ﾉ⌐■-■

[Nadaje_z_piwnicy]

Chciało się bawić w nowoczesną technikę to masz, tylko stary dobry telegraf zapewnia spokój i bezpieczeństwo ( ͡° ͜ʖ ͡°)

[tomek10861]

@Nadaje_z_piwnicy: ale jak z niego zamówić pizzę? ( ͡º ͜ʖ͡º)

[Nadaje_z_piwnicy]

@tomek10861: A po co ci pizza jak masz telegraf? ( ͡° ͜ʖ ͡°)

[kwanty]

@tomek10861: w ogóle szacun, że chciało Ci się zaprojektować i zabezpieczyć sieć w domu. Zdecydowana większość ludzi ma "router" od providera Internetu i co najwyżej jakiś switch jeżeli brakuje portów (a ostatnio i tak wszystko lata po WiFi). A Ty tu o VLANach mówisz :-) Na jakim sprzęcie postawiłeś swoją sieć? Mikrotik, Ubiquiti czy jakieś małe cisco/juniper?

To teraz cool story z mojej strony. Montowałem panele PV (dofinansowanie z gminy, nie

[mmichal]

@ZaufanaTrzeciaStrona dobry materiał dla Was

[Jarek_P]

bo technik był wielce zdziwiony że ja nie chcę podać...

@kwanty: w różnych krajach kwestie bezpieczeństwa są różnie traktowane, naprawdę.
W USA, tak, w tym wielkim, potężnym, technologiczne rozwiniętym USA dajmy na to jest powszechną praktyką w restauracjach, że dajesz kelnerowi kartę kredytową, a kelner z tą kartą idzie gdzieś na zaplecze, po czym po jakimś czasie wraca z już wydrukowanym potwierdzeniem transakcji.
Natomiast szczęka mi opadła w jednym z

[Kotaro]

Allah akbar – wszystko dobrze się skończyło. Jebut.

[nitroslaw]

Zdaje się, że autor tekstu jest z siebie zadowolony, także cieszę się jego szczęściem. Jednocześnie mam nadzieję że kiedyś zrozumiem o co w tym chodziło i jak się przed takim niebezpieczeństwem ustrzec( ͡º ͜ʖ͡º)

[Queltas]

@Luk1N: tez przeczytałem, niby po polsku, a jakby język obcy xD

[ferro]

@tomek10861, co masz na myśli pisząc, że "sieć VOIP ma odcięty internet"? Chyba nie może mieć odciętego jeśli chcesz wykonywać jakiekolwiek połączenia. Zresztą kłóci się to z informacją mówiącą że masz przekierowany port do interfejsu zarządzającego VOIPem.

[snowak]

@ferro: Pokręcony strasznie ten opis, ale chyba miał na myśli, że telefon nie był wystawiony na internet i siedział za NATem, po czym w dalszej części sobie przypomniał, że jednak był. Pewnie chciał dodać dramaturgii, a wyszedł trochę nielogiczny bełkot.

[ferro]

@tomek10861: w stu procentach zgadzam się z @snowak - opisałeś to wszystko tak, że niewiele da się z tego zrozumieć. Lepiej byłoby przygotować dłuższy i precyzyjny opis na spokojnie albo zakończyć na prostym wpisie na mikroblogu mówiącym, żeby nie robić przekierowań z publicznego IP do sieci wewnętrznej - obecnie trudno wywnioskować do kogo kierujesz swoją historię - dla laików zbyt zagmatwana, dla ludzi, którzy coś więcej ogarniają w temacie,

[Chicane]

Jako laik nic z tego co napisałeś nie zrozumiałem.

[z.....r]

@Chicane: Typowe, @tomek10861 chciał się dowartościować i nie postarał się aby tekst był przystępny. Teraz można wznosić jedynie achy i ochy.

[werfogd]

A to nie tak, że ten aparat ma po prostu branding paltel-a?
Podstawowym pytaniem jest, po co łączyć na stacjonarny szwajcarski, do którego wg taryfy jest pewnie ze dwa grosze, jeśli można by robić forward na Seaszele za 7zł? I taryfa nie ta, i prawdopodobieństwo wykrycia nie to.

Kilka lat temu walczyłem ze snom-em serii 700, taki podstawowy. Kupiony na ebay za psie pieniądze, pochodził od jakiegoś bliżej nieznanego operatora.
Wyczyściłem firmware,

[tomek10861]

@werfogd: Telefon działał jakies 1,5 roku bez problemu :D Nie było żadnych zapamiętanych ustawień, poza tym pierwsze co zrobiłem po zakupie to reset do fabrycznych. Poza tym zakup z pierwszej ręki. ( ͡° ͜ʖ ͡°)

Podejrzewam, że numer szwajcarski był testówką. Gdyby im udało się wyjść to kombinowaliby z premium.

[tomek10861]

@hotsauceand1: mogli spróbować numeru 9 cyfrowego wtedy by wyszli, ale tylko na Polskę. Więc też trochę fart był tutaj.

[c.....l]

wątpiłbym w palestyńczyków, oni przeważnie są tylko zombie w sieci.

[huntforfur]

@controll: tak jak p0laki