3.598.025 sistemas VoIP esperando una llamada

Hace ya seis años que realizamos una Gira de Seguridad en la que atacábamos sistemas de VoIP y de IM. En ella hacíamos ataques Man in the middle para reconstruir conversaciones VoIP y ficheros transmitidos por la red con los sistemas de IM, haciendo demos que recuerdo con mucho entretenimiento.

Cuando el miércoles vi la charla de Enno Rey y Daniel Mende en Troopers sobre como hackear SIP-TLS en los sistemas CISCO, se me ocurrió hacer una cosa con unos teléfonos y fui a buscar el post que escribí de Shodan y sistemas de VoIP para encontrar algún terminal en Internet que me permitiera probar la teoría.

Después de darle vueltas, decidí hacer la búsqueda más sencilla en Shodan para encontrarlo. Esto es algo que practica constantemente Enrique Rando en el libro de Hacking con Buscadores: Google, Bing y Shodan, así que introduje la cadena para ver cuántos dispositivos "hablan" SIP en Internet y el resultado abrió un nuevo mundo de posibilidades ante mí.

Figura 1: Resultados a la cadena SIP/2.0 en Shodan

Como podéis ver, el que haya más de 3 millones y medio de equipos con SIP en Internet hace que éste sea un factor de seguridad importantísimo a tener en cuenta en el momento que se hace una auditoría de seguridad a una empresa. Todo esto se ve en el módulo 5 del FTSAI: Auditoría WiFi, VPN, VoIP e IM.

En FOCA se buscan los equipos VoIP haciendo uso de los SRV Records del servicio DNS y de Shodan - gracias al acuerdo que tenemos con John Matherly -, pero no pensé que hubiera tantos. Por supuesto, muchos de ellos están abiertos totalmente, como ya habíamos comprobado.

Figura 2: Paneles abiertos sin solicitar autenticación alguna

Y algunos con logs que permiten descubrir algo que contaron Enno y Dani en su charla, la actualización de los equipos vía servidores TFTP.

Figura 3: Log del terminal SIP con información de los servidores TFTP

Si alguno se pregunta por la idea que tenía al inicio, tendrá que esperar hasta más adelante, que la primera prueba ha dado positivo, así que hay que seguir trabajándola.

Saludos Malignos!