文章內容

黑客大曝光：語音釣魚來了(3)

發(fā)布時間: 2012/6/11 19:35:00

陷阱--建立惡意的IVR系統(tǒng)

Trixbox（起初被稱為家庭版Asterisk）可以被用來在一臺計算機上安裝PBX軟件和語音信箱系統(tǒng)。Trixbox是一個完備的ISO映像文件，包括了所有的需要的部件及一些其他附件：

◆Asterisk，PBX核心

◆Sugar，一個CRM系統(tǒng)

◆A2Billing，一個電話卡業(yè)務平臺

◆Flash操作控制板，一種基于屏幕的操作平臺

◆Web Meet Me控制器，一個電話會議控制應用

◆freePBX，一個基于Web的Asterisk指配工具

◆一個報表系統(tǒng)，freePBX的提供CDR報表功能的部分

◆一個維護系統(tǒng)，Trixbox的一部分，提供到一些功能組件的底層接口，以及實時系統(tǒng)信息

◆CentOS，Linux的一個版本，和Fedora類似

只要一張CD，任何人都可以應用Trixbox，在一個小時之內建立一個PBX/IVR系統(tǒng)，并且使其正常運行，所要做的只是簡單地將Trixbox ISO映像文件刻錄到一張CD上，從CD上啟動計算機，并且選擇完全安裝，這將應用前面列出的在硬盤上運行的所有組件自動建立一個獨立的VoIP PBX。在一個典型的語音釣魚攻擊中，一臺遠程攻陷的億恩科技主機最有可能用來分別安裝這些組件。

一旦系統(tǒng)重新啟動，攻擊者可以登錄到管理界面，并且開始做一些相應的配置和調整，如圖3所示。

隨后，通過Web界面添加一個中繼，將Asterisk連接到新注冊的800服務。最后，為了應用自己從想要冒充的合法的IVR系統(tǒng)錄制的聲音，將.wav文件復制到目錄"/var/lib/asterisk/sounds"之下。最后一步是為"/etc/asterisk/extensions.conf"中的來話建立一個定制的響應菜單系統(tǒng)，稱為[custom-phish]，并通過Trixbox界面來付之應用。

此時，對任何撥打該800號碼的人而言，IVR系統(tǒng)已經建立，可以收聽錄音，并進行留言了。