一名攻击者在泰国最大的宽带供应商之一3BB的网络内部进行操作，并使用名为MeshCentral的合法管理工具保持对内部机器的远程控制，威胁情报公司Hunt.io表示。
该公司通过检查攻击者在互联网上留下的一个开放服务器发现了此次入侵，该服务器存放了攻击者自己的工具和已经控制的机器列表。
研究人员在2026年6月3日捕获了这个暴露的服务器，当时操作仍在进行中。服务器上的工具是从3BB自身网络内的一台计算机运行的，恢复的一个文件显示攻击者获得了内部服务器的完全管理控制，即根权限。
为了保持这种访问，攻击者安装了MeshCentral，这是IT团队通常用来远程管理计算机的免费工具。恢复的设置显示它被配置为一个隐藏的后门，代理报告到攻击者在www.ayuthayatech[.]com上运行的控制服务器，设备组名为TH-3BB。
攻击者越来越多地滥用这种远程管理软件，因为它是被信任的，其活动与常规管理活动融为一体。
从服务器恢复的设备列表列出了注册在攻击者MeshCentral设置中的机器。制作列表时，几台机器已连接并以根权限运行，研究人员表示这表明攻击者在那时持有主动的管理控制。
一个单独的清理脚本被编写来擦除日志并删除攻击者的其他工具，同时故意保留MeshCentral代理，以便访问能够存活。
在网络内部，攻击者努力扩大其访问权限。恢复的脚本通过SSH对超过55台内部计算机进行密码喷洒，探测3BB的内部销售门户agent.3bb.co[.]th，并在被攻陷的机器上搜索存储的密码、数据库登录和SSH密钥。其他脚本可以植入Web Shell，即运行攻击者命令的隐藏页面，并添加SSH密钥作为备份的回归方式。
Hunt.io表示，攻击者的主要目标是3BB的用户数据。服务器上的脚本被构建为复制公司的RADIUS数据库，这些数据库存储宽带客户用来在线登录的凭证。证据表明这些数据库是被针对的，但并没有显示任何数据被盗取。
同一服务器指向第二个目标。它持有来自3BB自身系统的有效VPN证书和Jasmine网络上服务的活动登录会话，Jasmine是一家3BB曾经是其一部分并仍与之共享基础设施的公司。Hunt.io表示，这表明攻击者正在针对这两个目标，尽管并未确认Jasmine本身已经被攻陷。
攻击者最初是如何获得3BB的访问权限尚未确定。服务器持有一个完整的工具包，针对3BB的FortiGate SSL-VPN网关，即mail.3bb.co[.]th的远程访问设备，包括针对CVE-2024-21762的完整漏洞利用，这是一个严重的2024年Fortinet漏洞，允许攻击者在不登录的情况下在设备上运行代码。被攻击的网关运行的固件版本受该漏洞影响。
但Hunt.io恢复的任何内容都没有显示该漏洞利用实际上有效，或这是攻击者入侵的方式。FortiGate工具是该工具包中开发最完善的部分，但它指向的是攻击者的能力和意图，而不是通过该设备确认的入侵。
攻击者随后关闭了暴露的目录。由于证据描述的是6月初的入侵情况，而不是今天，因此尚不清楚他们是否仍然可以访问3BB内部。
研究人员表示，他们在发布之前已通知受影响的公司和相关国家响应团队他们的发现。
防御者应采取的措施
恢复的工具包指向了一套明确的步骤，供运行类似边缘设备和身份验证系统的组织参考：
修补或确认FortiGate SSL-VPN设备已修复CVE-2024-21762。Fortinet的建议表示，如果无法立即修补，应关闭SSL-VPN，并且仅关闭Web模式并不是有效的解决方法。
检查是否存在未安装的MeshCentral代理，以及是否有不认识的管理服务器连接。
轮换可能已暴露的凭证，包括SSH密钥、数据库和RADIUS密码、VPN证书和应用程序密钥。修补并不能移除已安装的代理或重置已复制的密码。
寻找隐藏的回归方式，例如意外的SUID文件、Web Shell、已更改的SSH密钥和新添加的远程管理软件。
在清理之前保留日志和证据，因为攻击者自己的脚本是为了擦除它们而构建的。
报告中的关键指标，以去敏感化的形式显示：
IP地址：92.63.180[.]133，攻击者的服务器（8888端口持有开放目录，9443端口接收漏洞利用回调）
域名：www.ayuthayatech[.]com，MeshCentral控制服务器
MeshCentral组：TH-3BB
持久路径：/usr/local/bin/.rc，一个隐藏的后门，以及/usr/local/mesh_services/meshagent/
目标：mail.3bb.co[.]th（FortiGate SSL-VPN）和agent.3bb.co[.]th（内部门户）
完整的指标列表及技术细节在Hunt.io的报告中。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。