REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Cyble compare des artefacts d’INJ3CTOR3 et souligne une évolution importante : les secrets ne restent plus seulement dans le PBX compromis. Leur copie permet un usage frauduleux depuis l’extérieur, ce qui impose de coordonner nettoyage, renouvellement des accès et contrôles auprès de l’opérateur téléphonique.
Déroulement décrit par la source
- Les artefacts de septembre 2026 montrent un installateur qui envoie des identifiants hors du PBX à chaque exécution et utilise un second serveur de préparation.
- Le collecteur décrit téléverse 17 fichiers de configuration vers deux serveurs, avec une répétition toutes les minutes tant que l’hôte reste infecté.
- Un secret de trunk SIP volé permet à un tiers de s’enregistrer et de passer des appels sans dépendre ensuite du PBX d’origine.
Comprendre les mécanismes et les enseignements
- La suppression de l’implant n’annule pas l’accès acquis chez un fournisseur extérieur. La réponse doit suivre le secret jusqu’au service téléphonique qui l’accepte, puis vérifier les enregistrements et appels réalisés après la compromission du serveur initial.
- Renouveler des secrets dans un environnement encore contrôlé par l’attaquant peut lui livrer immédiatement les nouvelles valeurs. L’ordre de récupération doit rétablir une base saine avant la rotation finale, avec des mesures temporaires pour limiter les pertes pendant l’intervention.
Les vérifications défensives utiles
- Avec l’opérateur téléphonique, limiter les appels sortants sensibles et vérifier les enregistrements SIP inhabituels. Examiner les volumes, destinations et horaires de facturation ; préserver les données nécessaires à l’investigation avant que leur durée de conservation ne rende le rapprochement impossible.
- Isoler et reconstruire le PBX depuis une base approuvée après collecte des journaux et configurations. Examiner les comptes, tâches planifiées et fichiers d’administration ; vérifier aussi les modifications directes qui pourraient ne pas apparaître dans l’interface habituelle de gestion.
- Une fois l’hôte sain, renouveler les secrets SIP, administration, base et relais de messagerie concernés. Révoquer les anciens accès côté fournisseurs, tester la téléphonie attendue et surveiller les tentatives utilisant les anciens identifiants pour confirmer que l’exposition externe est effectivement coupée.
Portée et limites
Le rapport compare des artefacts et capacités de plusieurs périodes, sans donner ici le montant de fraude de chaque victime. Les accès initiaux historiques ne prouvent pas la voie utilisée dans chaque incident récent. L’absence d’élément visible dans une console ne suffit pas à exclure une modification du système.
Rapport original
From Hijacked Pbx To Stolen Trunk Inj3ctor3s Campaign — cyble.com.