BERLIN / LONDON (IT BOLTWISE) – Eine neue PHP-Webshell-Familie namens JOMANGY zielt gezielt auf FreePBX-Systeme und missbraucht SIP-Trunks für betrügerische Auslandsrufe. Laut Forschern wird die Kompromittierung über eine mehrstufige Bash-Chain mit „Self-Healing“-Persistence abgesichert, sodass selbst bereinigte Systeme binnen Minuten wiederhergestellt werden. Zusätzlich legt der Angreifer 18 Backdoor-Zugänge an, darunter Root-Äquivalente, um Administrator-Aktivitäten zu imitieren. Die Kampagne zeigt damit ein besonders resilienten Vorgehen zur langfristigen Monetarisierung über VoIP-Toll-Fraud.
Die jüngste Analyse einer Kampagne gegen FreePBX macht vor allem zwei Dinge deutlich: Erstens wird VoIP-Infrastruktur zunehmend wie klassische IT-Plattformen behandelt—mit Fokus auf Zugang, Dauerhaftigkeit und automatisierter Monetarisierung. Zweitens zeigt das Vorgehen eine bemerkenswert hohe Robustheit gegen Remediation. Statt primär auf Ransomware oder Datendiebstahl zu setzen, baut der Angreifer eine Pipeline, die SIP-Trunks kapert und ausgehende Anrufe auslöst, die anschließend dem Opfer-Account zugerechnet werden. Im Zentrum steht dabei eine zuvor unbekannte PHP-Webshell-Familie namens JOMANGY, die mit bereits bekannten Komponenten des INJ3CTOR3-Umfelds verzahnt ist.
Technisch stützt sich die Kampagne auf eine mehrstufige Infektionskette, die über mehrere „Persistence Channels“ gegenseitig rückversichert wird. Forschende beschreiben eine Bash-basierte Dropper-Chain, die auf kompromittierten FreePBX-Systemen sechs unterschiedliche Mechanismen installiert. Dazu zählen kurz getaktete Cron-Polling-Loops (etwa alle ein bis drei Minuten), Injektionen in Shell-Profile bei Reboots und Root-Logins sowie geschützte Backups des Crontabs über unveränderliche Attribute (u. a. chattr +i). Ergänzt wird das durch Watchdog-Prozesse, die Komponenten automatisch neu starten, sowie mehrere unveränderliche Kopien der Webshell auf dem Server. Zusätzlich ist ein PHP-Executor eingebettet, der die Persistenz bei Bedarf selbst erneut anstößt.
Das Muster „Self-Healing“ wirkt dabei wie eine Antwort auf typische Incident-Response-Prozesse. Wenn Administratoren nur einzelne Dateien, Cron-Jobs oder Webshell-Instanzen entfernen, reicht häufig ein verbleibender Mechanismus aus, um die vollständige Kompromittierung wiederaufzubauen—leise, ohne dass sofort ein neues Alarmbild entsteht. In der Praxis bedeutet das: Reines „Deface & Delete“ am Dateipfad ist riskant, weil die Angreifer mehrere Wiederanlaufstellen erzeugen. Besonders kritisch ist die Kombination aus zeitgesteuerter Steuerung und reauth-basierten Triggern, denn sie macht die Persistenz unabhängig von einzelnen Benutzeraktionen. Genau hier wird die Angriffsfläche von PBX-Umgebungen deutlich, die oft viele Funktionen bündelt und dadurch komplexe Berechtigungsflüsse mit sich bringt.
Für den operativen Zugriff setzt die Kampagne zusätzlich auf breite, geschickt getarnte Account-Erstellung. Unautorisiert werden 18 Backdoor-Zugänge angelegt—über verschiedene Privilegstufen hinweg. Neun davon besitzen UID-0-Äquivalente und gewähren damit faktisch Root-Niveau. Weitere acht Konten imitieren typische Service-Accounts, wie sie in FreePBX-Setups üblich sind, während ein weiteres Konto gezielt direkt in die FreePBX-MySQL-Datenbank eingetragen wird, um Zugriff auf das Web-Admin-Panel zu ermöglichen. Namen wie „asterisk“, „freepbxuser“, „spamfilter“ oder „sangoma“ sollen dabei wie legitime Bestandteile des Betriebs wirken und so Routine-Checks aushebeln. Experten bewerten solche Maßnahmen als „Angriff auf die Erwartungshaltung“ von Sicherheits-Teams, weil sich Artefakte in normalen Verwaltungsumgebungen verstecken.
Bei JOMANGY fällt außerdem die Ausführungstechnik auf. Die Webshell-Familie ist laut Forschenden die erste öffentlich analysierte Instanz dieses Toolsets. In den Samples wird eine doppelte Obfuskation verwendet: Base64 wird über ROT13 gelegt, wodurch viele automatisierte Auswertewerkzeuge zunächst nur die äußere Base64-Schicht dekodieren und die ROT13-Ebene nicht als funktionsfähigen PHP-Code erkennen. Dazu kommt ein konsistenter Watermark-String, der als Entwicklungsfingerabdruck dient und die verschiedenen Funde einem gemeinsamen Ursprung zuordnet. Darüber hinaus integriert die Komponente aktiv TOLL-Fraud-Funktionalität: Über Asterisk-Kommandos („channel originate“) werden ausgehende Verbindungen initiiert—also genau die Stelle, an der monetärer Schaden entsteht. Auch hier zeigt sich: Das Schadbild ist nicht laut wie bei Ransomware, sondern wirtschaftlich „leise“ und daher schwerer zu erkennen.
Im Market-Kontext ist die Kampagne kein isolierter Ausreißer, sondern wirkt wie eine Weiterentwicklung innerhalb eines etablierten Bedrohungsprofils. Forschende berichten von infrastruktureller Kontinuität zu früheren Aktivitäten des INJ3CTOR3-Umfelds: Ein Stage-1-Dropper räumt zunächst konkurrierende Malwarefamilien und sogar defensive Werkzeuge aus, bevor eigene Payloads nachgeladen werden. Zusätzlich werden zahlreiche Webshell-Signaturen gelöscht und rivalisierende Command-and-Control-Routen blockiert. Parallel deutet ein Abgleich von Markern und Infrastrukturüberlappungen auf eine Attribution hin, die bereits von Branchensicherheitsdiensten wie Fortinet sowie von Erkundungs- und Threat-Intel-Einheiten wie Palo Alto Networks Unit 42 oder Check Point Research thematisiert wurde. Für Unternehmen bedeutet das: Die „eigene“ FreePBX-Lücke ist oft nur der Einstieg—später dominieren Tooling, Persistenz und Ausnutzung von bestehender Fernwartung.
Unklar bleibt weiterhin, welche anfänglichen Ausnutzungspfade genau zur Initialkompromittierung führten, weil relevante Webserver-Logs und konkrete Exploit-Payloads fehlten. Dennoch werden zwei Schwachstellen als wahrscheinlich diskutiert: CVE-2025-64328 (Post-Authentication Command Injection im FreePBX filestore-Modul) und CVE-2025-57819 (Pre-Authentication SQL Injection im FreePBX Endpoint-Modul). Besonders bemerkenswert ist die Einordnung von CVE-2025-57819, weil die Persistenzarchitektur angeblich stark mit Scheduling-Missbrauch korrespondiert, wie er für diese Lücke beschrieben wurde. Interessant ist zudem, dass frühere Varianten das Endpoint-Modul nach Ausnutzung deaktivierten, während die neue Kampagne es aktiv lässt—was auf ein stabileres, langfristiges Nutzungsszenario schließen lässt.
Der Ausblick fällt damit eindeutig aus: PBX- und VoIP-Systeme müssen in Sicherheitskonzepten wie „kritische Infrastruktur“ behandelt werden, auch wenn sie organisatorisch oft wie Spezialsoftware verwaltet werden. Neben klassischen Patch- und Härtungsmaßnahmen rückt vor allem die Frage nach vollständiger Bereinigung in den Vordergrund, etwa durch systemweite Forensik, erzwungene Integritätsprüfungen und—wenn möglich—saubere Neuinstallation aus vertrauenswürdigen Images. Aus regulatorischer und datenschutzrechtlicher Sicht ist das relevant, weil betrügerische Nutzungen und Manipulationen an Kommunikationswegen mittelbar Auswirkungen auf Kommunikationsdaten, Nutzungsprofile und Nachweisketten haben können. Als nächster Schritt ist zu erwarten, dass ähnliche Kampagnen verstärkt „mehrspurige“ Persistenz kombinieren und sich—wie hier beobachtet—über mehrere FreePBX-Directory-Pfade parallel absichern. Für Entwickler und Admins heißt das: Die Defense muss nicht nur den Webshell-Pfad schließen, sondern die gesamte Ausführungs- und Scheduling-Kette neu denken.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "JOMANGY-Backdoor kapert FreePBX per selbstheilender Persistence-Kette" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "JOMANGY-Backdoor kapert FreePBX per selbstheilender Persistence-Kette" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »JOMANGY-Backdoor kapert FreePBX per selbstheilender Persistence-Kette« bei Google Deutschland suchen, bei Bing oder Google News!