CDRThief
CDRThief é uma peculiar peça de malware descoberta pelos pesquisadores recentemente. O CDRThief visa servidores baseados em Linux e tenta coletar dados de dois switches de software específicos de voz sobre IP (VoIP). Os softswitches são usados para conectar chamadas telefônicas de uma linha telefônica para outra, seja por meio de uma rede de telecomunicações ou da Internet por meio de software, em vez da forma mais tradicional, contando com hardware eletrônico específico.
Embora o vetor de ataque específico usado para inserir o SDRThief nos sistemas visados permaneça desconhecido, o comportamento pós-comprometimento da ameaça foi analisado. O CDRThief foi projetado para extrair dados de apenas dois programas Softswitch - VOS2009 e VOS3000 , desenvolvidos pela empresa chinesa Linknat. Depois de ser implantado em um sistema que executa qualquer um dos programas Softswitch, o malware começa a escanear os arquivos de configuração do Linknat para coletar as credenciais do banco de dados MySQL. Embora a senha do banco de dados seja armazenada em uma forma criptografada, CDRThief tem a capacidade de lê-la e descriptografá-la. Isso é evidência de que os hackers por trás da ameaça têm conhecimento íntimo do setor de software VoIP e do funcionamento interno do Linknat, em particular, porque eles tiveram que fazer a engenharia reversa dos binários dos programas ou obter informações específicas sobre o algoritmo de criptografia AES e chave por outros métodos.
Depois de obter as credenciais com sucesso, o CDRThief se conecta ao banco de dados MySQL e executa consultas SQL para coletar detalhes do registro de chamadas (metadados VoIP). Todas as informações coletadas são então transmitidas a um servidor remoto sob o controle dos criminosos.
O objetivo exato do CDRThief permanece desconhecido, mas a julgar por sua funcionalidade, os pesquisadores especulam que ele pode ser usado para atividades de espionagem cibernética ou como parte do esquema de fraude de compartilhamento de receita internacional (IRSF), que explora a existência de números de telefone premium para gerar ganhos monetários.
