Récupérer à distance le mot de passe d'accès à un service VoIP via l'exploitation de SIP

Résumé : SIP Digest Leak
permet de récupérer à distance le mot de passe d'un service VoIP via
l'exploitation du protocole SIP de gestion de sessions sur les
téléphones IP et les adaptateurs VoIP pour les analogiques.

SIP Digest Leak ( lien ) est une attaque qui porte sur une vulnérabilité
affectant un grand nombre de téléphones VoIP ( lien ) qui incluent
le protocole de gestion de sessions SIP ( lien ), les adaptateurs VoIP
pour analogiques sont également concernés. Le
contexte de l'attaque se base sur le fait que le téléphone ciblé est en
écoute sur un port particulier, acceptant ainsi de recevoir les appels
téléphoniques. L'attaquant lui envoie alors un message INVITE afin de
le faire sonner, son propriétaire décroche, puis constatant que
personne n'est au bout, il raccroche.


Un message BYE est dès lors envoyé à l'attaquant qui va de suite
répondre avec un message 407 PROXY AUTHENTICATION REQUIRED. A noter ici
que cette attaque est possible de par le fait que l'agent ciblé va
répondre à cette demande alors même qu'il n'a aucune raison de le
faire. Celui-ci va donc fournir de façon aveugle un SIP DIGEST
contenant le mot de passe chiffré avec MD5 ( lien ). Il ne reste alors plus
à l'attaquant qu'à effectuer localement une attaque par force brute ( lien )
sur le SIP Digest reçu.


Le mode hors ligne est envisageable pour cette étape. Une fois le
MD5 craqué, l'attaquant obtient le mot de passe d'accès qui va lui
permettre d'effectuer des appels frauduleux depuis le compte de la
victime. Le mode opératoire de l'attaque consiste donc plus largement
pour l'attaquant à scanner les étendues d'adresses IP dont les
fournisseurs de services VoIP ont la gestion ( RIPE - lien
) et cela dans le but d'identifier l'ensemble des périphériques SIP qui
y sont disponibles pour ensuite les exploiter avec la technique
précédemment décrite.

Afin d'en automatiser l'exploitation, Enable Security ( lien ), déjà à
l'origine de SIPVicious ( lien ), vient de mettre a jour la suite d'outils
VoIPPACK ( lien ) pour la plateforme de tests d'intrusion
Immunity CANVAS ( lien ). Les scripts Python ( lien )
Sipdigestleak, Digestcracker et Sipgetringers ont été ajoutés, ce
dernier servant à récupérer les informations qui vont permettre
d'appeler et de faire sonner l'agent recensé, récupérant par là-même le
nom d'utilisateur du compte ciblé par l'attaque d'authentification.


A noter également que VoIPPACK s'est doté du script Ghostcall qui
permet de faire sonner tous les téléphones d'un réseau ciblé au même
moment. Pour l'instant, les périphériques testés comme vulnérables aux
attaques SIP Digest Leak sont le Linksys SPA2102 ( lien ), le Grandstream
GXV3000 ( lien ) et l'AVM Fritz 7270 ( lien ), d'autres modèles nécessitant
d'approfondir les tests sont actuellement audités comme le Thompson
ST2030 ( lien ).


Afin de limiter les impacts des usages non légitimes de leur
compte, les utilisateurs doivent s'assurer que le service de leur
fournisseur inclut la possibilité de configurer une limite sur les
crédits alloués et de l'activer. Dans le cas contraire, leurs factures
pourront risquer de sembler « surprenantes » à la reception. La
surveillance régulière des listes d'appels émis et la signalisation aux
fournisseurs des appels inhabituels sont aussi conseillées.

Pour les fournisseurs, il est préconisé de mettre en place une
politique de rotation des mots de passe et de privilégier une longueur
suffisamment importante avec le plus de caractères variés que possible.
Des Honeypots ( lien ) VoIP ( lien ) peuvent également être déployés
afin d'aider à la détection des scans préliminaires nécessaires à cette attaque.


Deux vidéos disponibles :
Récupération du Login & Mot de passe
Appel fantôme


Par Xavier Poli,
secuobs.com
Le 03/04/2009