Злоумышленник действовал внутри сети 3BB, одного из крупнейших провайдеров широкополосного интернета в Таиланде, и поддерживал удаленный контроль над внутренними машинами, используя легитимный инструмент управления под названием MeshCentral, сообщил аналитический центр угроз Hunt.io.
Компания обнаружила вторжение, изучив сервер, который злоумышленник оставил открытым в интернете, на котором находились собственные инструменты злоумышленника и список машин, уже находящихся под его контролем.
Исследователи захватили открытый сервер 3 июня 2026 года, пока операция все еще была активна. Инструменты на нем были запущены с компьютера внутри сети 3BB, и один восстановленный файл показал, что злоумышленник получил полный административный контроль, известный как root, над внутренним сервером.
Чтобы поддерживать этот доступ, злоумышленник установил MeshCentral, бесплатный инструмент, который команды ИТ обычно используют для удаленного управления компьютерами. Восстановленные настройки показывают, что он был настроен как скрытый бэкдор, с агентами, сообщающими на контрольный сервер, который злоумышленник управлял на www.ayuthayatech[.]com, в группе устройств под названием TH-3BB.
Злоумышленники все чаще злоупотребляют таким программным обеспечением для удаленного управления, потому что оно считается надежным, и его деятельность сливается с рутинным администрированием.
Список устройств, восстановленный с сервера, назвал машины, зарегистрированные в настройках MeshCentral злоумышленника. Несколько из них были подключены и работали с правами root, когда список был составлен, что, по словам исследователей, показало, что злоумышленник имел активный административный контроль в тот момент.
Отдельный скрипт очистки был написан для удаления логов и удаления других инструментов злоумышленника, при этом намеренно оставляя агента MeshCentral на месте, чтобы доступ сохранился.
Внутри сети злоумышленник работал над расширением своего доступа. Восстановленные скрипты пытались угадать пароли более чем для 55 внутренних компьютеров через SSH, исследовали внутренний портал продаж 3BB на agent.3bb.co[.]th и искали скомпрометированные машины на наличие сохраненных паролей, логинов к базам данных и SSH-ключей. Другие скрипты могли устанавливать веб-оболочки, скрытые страницы, которые выполняют команды злоумышленника, и добавлять SSH-ключи в качестве резервных способов доступа.
Hunt.io заявила, что основной целью злоумышленника были данные подписчиков 3BB. Скрипты на сервере были созданы для копирования баз данных RADIUS компании, систем, которые хранят учетные данные для входа, которые используют широкополосные клиенты для выхода в интернет. Доказательства показывают, что эти базы данных были нацелены, но не указывают на то, что какие-либо данные были украдены.
Тот же сервер указывал на вторую цель. Он содержал действующий VPN-сертификат из собственных систем 3BB и активные сеансы входа для сервисов в сети Jasmine, компании, частью которой когда-то была 3BB и с которой она все еще делит инфраструктуру. Hunt.io заявила, что это предполагает, что злоумышленник работал против обеих, хотя не подтвердила, что сама Jasmine была взломана.
Как злоумышленник изначально получил доступ к 3BB, не установлено. Сервер содержал полный набор инструментов, нацеленных на шлюз SSL-VPN FortiGate 3BB, удаленный доступ к mail.3bb.co[.]th, включая полный эксплойт для CVE-2024-21762, серьезного уязвимости Fortinet 2024 года, которая позволяет злоумышленнику запускать код на устройстве без входа в систему. Нацеленный шлюз работал на версии прошивки, затронутой уязвимостью.
Но ничего из того, что восстановила Hunt.io, не показывает, что эксплойт действительно сработал или что именно так злоумышленник получил доступ. Инструменты FortiGate были наиболее развитыми в наборе, но они указывают на способности и намерения злоумышленника, а не на подтвержденный взлом через это устройство.
Злоумышленник с тех пор закрыл открытый каталог. Неизвестно, есть ли у него все еще доступ внутри 3BB, потому что доказательства описывают вторжение таким, каким оно было в начале июня, а не сегодня.
Исследователи заявили, что уведомили затронутые компании и соответствующую национальную команду реагирования о своих находках перед публикацией.
Что должны делать защитники
Восстановленный набор инструментов указывает на четкий набор шагов для организаций, работающих с аналогичными пограничными устройствами и системами аутентификации:
Установите патчи или подтвердите, что устройства FortiGate SSL-VPN исправлены в соответствии с CVE-2024-21762. В уведомлении Fortinet говорится, что если вы не можете установить патч сразу, вам следует отключить SSL-VPN, и что отключение веб-режима само по себе не является допустимым обходным решением.
Проверьте наличие агентов MeshCentral, которые вы не устанавливали, и соединений с управляющими серверами, которые вы не распознаете.
Смените учетные данные, которые могли быть скомпрометированы, включая SSH-ключи, пароли баз данных и RADIUS, VPN-сертификаты и секреты приложений. Установка патчей не удаляет агента, который уже установлен, или не сбрасывает пароль, который уже был скопирован.
Ищите скрытые способы доступа, такие как неожиданные SUID-файлы, веб-оболочки, измененные SSH-ключи и недавно добавленное программное обеспечение для удаленного управления.
Сохраняйте логи и доказательства перед очисткой, потому что собственный скрипт злоумышленника был создан для их удаления.
Ключевые индикаторы из отчета, показанные в дефангированном виде:
IP-адрес: 92.63.180[.]133, сервер злоумышленника (порт 8888 содержал открытый каталог, порт 9443 получал обратный вызов эксплойта)
Домен: www.ayuthayatech[.]com, сервер управления MeshCentral
Группа MeshCentral: TH-3BB
Пути постоянства: /usr/local/bin/.rc, скрытый бэкдор, и /usr/local/mesh_services/meshagent/
Цели: mail.3bb.co[.]th (FortiGate SSL-VPN) и agent.3bb.co[.]th (внутренний портал)
Полный список индикаторов, вместе с техническими деталями, содержится в отчете Hunt.io.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.