Bedrijven die gebruikmaken van het softwarepakket 3CX, doen er verstandig aan om de desktopapplicatie voorlopig niet te gebruiken. In de laatste update is malware aangetroffen, waardoor hackers een supply chain attack kunnen uitvoeren. Systeembeheerders wordt aangeraden om de laatste update te verwijderen.
Het Nationaal Cyber Security Centrum (NCSC) komt met deze aanbeveling.
Malware in 3CX kan deur openzetten voor hackers
3CX is een veelgebruikte VoIP-softwareoplossing voor bedrijven die met telefooncentrales werken. Het bedrijf heeft wereldwijd meer dan 600.000 klanten en 12 miljoen dagelijkse gebruikers. 3CX biedt klanten een desktopapplicatie aan waarmee ze vanaf hun computer kunnen bellen en voicemails kunnen beluisteren, zowel voor Windows- als Mac-computers.
Diverse cybersecuritybedrijven waarschuwden donderdag dat de desktopapplicaties besmet zijn geraakt met malware. Deze malafide software installeert een kwaadaardige payload, die op zijn beurt vertrouwelijke informatie steelt van besmette systemen en de deur voor hackers wagenwijd kan openzetten. In het ergste geval kunnen aanvallers deze ingang gebruiken om een supply chain attack of ketenaanval uit te voeren.
3CX raadt aan om desktopapplicatie te verwijderen
Het probleem doet zich voor in 3CX Desktop-App update 7. Het bedrijf zegt een update voor de desktopapplicatie naar haar servers te hebben uitgerold, maar kan niet garanderen dat daarmee de problemen zijn verholpen. Om die reden raadt 3CX af om de desktopapplicatie voorlopig te gebruiken. De VoIP-softwareaanbieder hoopt binnen enkele dagen een nieuwe versie van de app met nieuw certificaat te kunnen aanbieden.
3CX adviseert systeembeheerders om het softwareprogramma volledig te verwijderen als ze updateversie 7 hebben geïnstalleerd, tenzij de toepassing absoluut noodzakelijk is voor de bedrijfsvoering van een organisatie. In dat geval doen bedrijven er verstandig aan om niet de desktop-, maar de webapplicatie van de software te gebruiken.
NCSC: ‘Wees alert op mogelijke signalen misbruik’
Het NCSC ziet de ernst van het probleem in en doet ook een duit in het zakje. Het adviesorgaan raadt organisaties die gebruikmaken van 3CX aan om het advies van de ontwikkelaar op te volgen en het programma te verwijderen. IT-medewerkers zouden daarna hun eigen systemen grondig moeten onderzoeken op eventuele besmetting door malware.
Het NCSC geeft nog een tweede tip aan Nederlandse afnemers van de VoIP-dienst. Het probleem doet zich weliswaar voor bij update 7, maar het is verstandig om te kijken of interne systemen niet besmet zijn geraakt als ze een oudere versie gebruiken.
Tot slot raadt het NCSC aan om alert te zijn op signalen die op mogelijk misbruik of ongeautoriseerde toegang wijzen.
Update (3 april 2023): Google heeft het veiligheidscertificaat van de nieuwste versie van de software van 3CX ingetrokken. Dat meldt de CEO van 3CX, Nick Galea. Dat houdt in dat gebruikers niet langer de 3CX Desktop-app kunnen downloaden en installeren via Chrome, de webbrowser van Google. Meerdere verkopers van antiviruspakketten blokkeren inmiddels de software van het bedrijf die gebruikmaakt van het oude beveiligingscertificaat.
Op haar blog raadt het softwarebedrijf aan om de 3CX Electron Desktop-App te verwijderen, zowel van Windows- als Mac-computers. Vervolgens doen systeembeheerders en IT-medewerkers er goed aan om hun netwerk voortdurend te scannen op virussen en andere malware. Mocht je organisatie niet zonder de applicatie kunnen, gebruik dan de web client app in plaats van de desktop app.
Update (7 april 2023): 3CX laat in een reactie weten dat het een nieuwe versie van de desktopapplicatie heeft uitgebracht. Beveiligingsspecialisten van cybersecuritybedrijf Mandiant hebben de build van de applicatie bestudeerd en zijn tot de conclusie gekomen dat er geen aanwijzingen zijn dat er iets mis is.
De desktoptoepassing heeft tevens een nieuw veiligheidscertificaat ontvangen. Op het forum van 3CX klagen gebruikers echter dat zowel Chrome als hun antivirusprogramma de nieuwe versie blokkeren. Volgens het bedrijf gaat het om een false positive. Een bestand wordt dan onterecht aangemerkt als gevaarlijk.
Een medewerker van 3CX zegt dat de nieuwe desktopapplicatie inmiddels op een application whitelist staat.
