Rafales d'INVITE vers l'international (tentative de fraude téléphonique)
```text NOTICE: Request 'INVITE' from '"1001" <sip:1001@203.0.113.25>' failed for '198.51.100.7' - Wrong password NOTICE: Call from '1004' to '00882…' — chan_pjsip ```
Détecter
Pic de CPU sur l'IPBX la nuit, milliers de tentatives d'appel vers des numéros internationaux surtaxés, alerte de l'opérateur sur la consommation.
Symptômes
Pic de CPU sur l'IPBX la nuit, milliers de tentatives d'appel vers des numéros internationaux surtaxés, alerte de l'opérateur sur la consommation.
Environnement
Asterisk exposé sur Internet (UDP/5060) pour les postes nomades, extensions à mots de passe faibles, contexte sortant autorisant l'international.
Cause racine
Scan automatisé et attaque par force brute sur les identifiants SIP ; un compte au mot de passe faible a été compromis puis utilisé pour appeler des numéros surtaxés via un contexte trop permissif.
Diagnostic
- Journal de sécurité et
full: adresses sources, comptes ciblés. - CDR : appels sortants anormaux (heure, destination, durée).
pjsip show contacts: enregistrements depuis des IP inconnues.
Solution
- Bloquer immédiatement l'international au niveau du trunk et désactiver le compte compromis.
- Changer tous les secrets SIP (longs, aléatoires).
- fail2ban sur les échecs d'authentification, restriction d'accès par IP ou VPN pour les nomades.
- Contextes sortants restreints par profil, plafond d'appels simultanés.
Commandes
fail2ban-client status asterisk
asterisk -rx "pjsip show contacts"
grep -c "Wrong password" /var/log/asterisk/security
Prévention
Ne jamais exposer 5060 sans SBC/filtrage, TLS + SRTP, alerte sur volume d'appels internationaux, liste de pays autorisés chez l'opérateur, audit trimestriel des secrets.