Layanan VoIP Rentan terhadap Botnet, Peneliti Keamanan Katakan

Cacat dalam sistem telepon berbasis Internet yang populer dapat dimanfaatkan untuk membuat jaringan akun ponsel yang diretas, seperti botnet yang telah mendatangkan malapetaka dengan PC selama beberapa tahun terakhir.

Peneliti di Secure Science baru-baru ini menemukan cara untuk melakukan panggilan tidak sah dari Skype dan sistem komunikasi Google Voice yang baru, menurut Lance James, salah satu pendiri perusahaan.

Menguping oleh IP

Penyerang dapat memperoleh akses ke akun menggunakan teknik yang ditemukan oleh para peneliti, kemudian gunakan program PBX (pertukaran cabang pribadi) berbiaya rendah untuk membuat ribuan panggilan melalui akun tersebut.

Panggilan akan hampir tidak dapat dilacak, sehingga penyerang dapat mengatur kekacauan otomatis sistem penuaan untuk mencoba dan mencuri informasi sensitif dari korban, serangan yang dikenal sebagai vishing. Panggilan mungkin merupakan pesan rekaman yang meminta penerima untuk memperbarui rincian rekening bank mereka, misalnya.

"Jika saya mencuri banyak [akun Skype], saya dapat mengatur [a PBX] untuk membulatkan semua nomor tersebut, dan saya dapat mengatur virtual Skype botnet untuk membuat panggilan keluar. Ini akan menjadi neraka di roda untuk phisher dan itu akan menjadi neraka serangan untuk Skype, "kata James.

Di Google Voice, penyerang bisa bahkan mencegat atau mengintip pada panggilan masuk, kata James. Untuk mencegat suatu panggilan, penyerang akan menggunakan fitur yang disebut Penerusan Panggilan Sementara untuk menambahkan nomor lain ke akun, kemudian menggunakan perangkat lunak bebas seperti Asterisk untuk menjawab panggilan sebelum korban pernah mendengar sebuah cincin. Saat itu menekan simbol bintang, panggilan kemudian dapat diteruskan ke telepon korban, memberikan penyerang cara untuk mendengarkan panggilan.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Spoofing Sumber Panggilan

Peneliti Ilmu Pengetahuan Secure dapat mengakses akun yang telah mereka tetapkan menggunakan layanan online yang disebut spoofcard, yang memungkinkan pengguna untuk membuatnya tampak seolah-olah mereka menelepon dari nomor yang mereka inginkan.

Spoofcard telah digunakan di masa lalu untuk mengakses akun voicemail. Paling terkenal, itu disalahkan ketika akun aktris Lindsay Lohan BlackBerry diretas tiga tahun lalu dan kemudian digunakan untuk mengirim pesan yang tidak pantas.

Serangan di Google Voice dan Skype menggunakan teknik yang berbeda, tetapi pada dasarnya keduanya berfungsi karena tidak ada layanan yang memerlukan kata sandi. untuk mengakses sistem pesan suara.

Agar serangan Skype berfungsi, korban harus ditipu untuk mengunjungi situs Web berbahaya dalam 30 menit setelah masuk ke Skype. Dalam serangan Google Voice (pdf), peretas pertama-tama harus mengetahui nomor telepon korban, tetapi Secure Science telah menemukan cara untuk mengetahui hal ini menggunakan Layanan Pesan Singkat Google Voice (SMS).

Google Addresses Flaws

Google menambal bug yang mengaktifkan serangan Secure Science minggu lalu dan menambahkan persyaratan kata sandi ke sistem pesan suara, kata perusahaan itu dalam sebuah pernyataan. "Kami telah bekerja dalam koordinasi dengan Ilmu Aman untuk mengatasi masalah yang mereka ajukan dengan Google Voice, dan kami telah membuat beberapa perbaikan pada sistem kami," kata perusahaan itu. "Kami belum menerima laporan dari akun apa pun yang diakses dengan cara yang dijelaskan dalam laporan, dan akses tersebut akan membutuhkan sejumlah persyaratan yang harus dipenuhi secara bersamaan."

Kelemahan Skype belum ditambal, menurut James. EBay, perusahaan induk Skype, tidak segera menanggapi permintaan untuk komentar.

Serangan menunjukkan betapa sulitnya untuk mengintegrasikan sistem telepon sekolah lama secara aman ke dunia internet yang lebih bebas-roda, kata James. "Ini semacam membuktikan … betapa mudahnya VoIP mengacaukan," katanya. Dia percaya bahwa kekurangan semacam ini hampir pasti mempengaruhi sistem VoIP lainnya juga. "Ada orang-orang di luar sana yang bisa mengetahui cara menyadap saluran telepon Anda."