3BB-Eindringling nutzte MeshCentral-Backdoor für Root-Zugriff

Sicherheitsforscher von Hunt.io haben Details eines Eindringens in 3BB, einen großen thailändischen Breitbandanbieter, veröffentlicht, bei dem ein Angreifer MeshCentral, ein legitimes Remote-Management-Tool, als versteckte Backdoor nutzte, um administrative Kontrolle über interne Maschinen zu erlangen. Die Forscher sagen, sie hätten die Operation entdeckt, weil der Angreifer einen Server offen im Internet hinterließ, der die eigenen Tools des Angreifers und eine Liste bereits kontrollierter Maschinen enthielt.

Hunt.io erfasste den exponierten Server am 3. Juni 2026, während die Operation noch aktiv war. Die Tools auf diesem Server wurden von einem Computer innerhalb des 3BB-Netzwerks ausgeführt, und eine wiederhergestellte Datei zeigte, dass der Angreifer volle administrative Kontrolle, bekannt als Root, über einen internen Server erlangt hatte. Um diesen Zugriff aufrechtzuerhalten, installierte der Angreifer MeshCentral, ein kostenloses Programm, das IT-Teams normalerweise zur Fernverwaltung von Computern verwenden. Die wiederhergestellten Einstellungen zeigen, dass es als versteckte Backdoor eingerichtet wurde: Die Agenten meldeten sich bei einem Kontrollserver, den der Angreifer unter www.ayuthayatech[.]com betrieb, unter einer Gerätegruppe namens TH-3BB. Hunt.io stellt fest, dass Angreifer zunehmend diese Art vertrauenswürdiger Remote-Management-Software missbrauchen, weil ihre Aktivität mit routinemäßiger Administration verschmilzt.

Eine vom Server wiederhergestellte Geräteliste nannte die Maschinen, die in der MeshCentral-Einrichtung des Angreifers registriert waren, und mehrere waren verbunden und liefen mit Root-Rechten, als die Liste erstellt wurde. Das zeigte laut den Forschern, dass der Angreifer zu diesem Zeitpunkt aktive administrative Kontrolle hatte. Ein separates Bereinigungsskript wurde geschrieben, um Protokolle zu löschen und die anderen Tools des Angreifers zu entfernen, während der MeshCentral-Agent absichtlich an Ort und Stelle belassen wurde, damit der Zugriff überlebte.

Innerhalb des Netzwerks arbeitete der Angreifer daran, den Zugriff auszuweiten. Wiederhergestellte Skripte sprühten Passwörter gegen mehr als 55 interne Computer über SSH, eine sichere Methode zur Anmeldung bei entfernten Computern, und sondierten 3BBs internes Verkaufsportal unter agent.3bb.co[.]th. Die Skripte durchsuchten auch kompromittierte Maschinen nach gespeicherten Passwörtern, Datenbank-Logins und SSH-Schlüsseln, bei denen es sich um digitale Anmeldeinformationen handelt, die zur Anmeldung ohne Eingabe eines Passworts verwendet werden. Andere Skripte konnten Web-Shells platzieren, versteckte Seiten, die Befehle eines Angreifers ausführen, und SSH-Schlüssel als Backup-Wege zurück hinzufügen.

Hunt.io sagte, das Hauptziel des Angreifers seien die Teilnehmerdaten von 3BB gewesen. Skripte auf dem Server wurden erstellt, um die RADIUS-Datenbanken des Unternehmens zu kopieren, die Systeme, die die Anmeldeinformationen der Breitbandkunden für den Online-Zugang speichern. Die Beweise zeigen, dass diese Datenbanken ins Visier genommen wurden, nicht dass Daten entnommen wurden. Derselbe Server wies auf ein zweites Ziel hin: Er enthielt ein gültiges VPN-Zertifikat aus den eigenen Systemen von 3BB und aktive Anmeldesitzungen für Dienste im Jasmine-Netzwerk, einem Unternehmen, zu dem 3BB einst gehörte und mit dem es noch Infrastruktur teilt. Hunt.io sagte, dies deute darauf hin, dass der Angreifer gegen beide arbeitete, bestätigte jedoch nicht, dass Jasmine selbst kompromittiert wurde.

Wie der Angreifer ursprünglich Zugang zu 3BB erlangte, ist nicht geklärt. Der Server enthielt ein vollständiges Toolkit, das auf ein 3BB FortiGate SSL-VPN-Gateway abzielte, die Remote-Access-Box unter mail.3bb.co[.]th, einschließlich eines vollständigen Exploits für CVE-2024-21762, eine schwerwiegende Fortinet-Schwachstelle aus dem Jahr 2024, die es einem Angreifer ermöglicht, Code auf dem Gerät auszuführen, ohne sich anzumelden. Das Ziel-Gateway lief mit einer von der Schwachstelle betroffenen Firmware-Version. Allerdings zeigt nichts, was Hunt.io wiederhergestellt hat, dass der Exploit tatsächlich funktionierte oder dass er der Weg war, wie der Angreifer hineinkam. Das FortiGate-Tooling war der am weitesten entwickelte Teil des Kits, doch es weist auf die Fähigkeit und Absicht des Angreifers hin, nicht auf einen bestätigten Einbruch über dieses Gerät.

Der Angreifer hat seitdem das exponierte Verzeichnis geschlossen. Ob sie noch Zugang innerhalb von 3BB haben, ist nicht bekannt, da die Beweise den Eindringling beschreiben, wie er Anfang Juni war, nicht heute. Die Forscher sagten, sie hätten die betroffenen Unternehmen und das zuständige nationale Reaktionsteam vor der Veröffentlichung über ihre Ergebnisse informiert.

Der Bericht von Hunt.io listet mehrere Verteidigungsschritte für Organisationen auf, die ähnliche Edge-Geräte und Authentifizierungssysteme betreiben. Organisationen sollten FortiGate SSL-VPN-Appliances patchen oder bestätigen, dass sie gegen CVE-2024-21762 abgesichert sind. Der Fortinet-Hinweis besagt, dass man SSL-VPN abschalten sollte, wenn man nicht sofort patchen kann, und dass das Abschalten des Web-Modus allein keine gültige Problemumgehung ist. Sie sollten auch nach MeshCentral-Agenten suchen, die sie nicht installiert haben, und nach Verbindungen zu Management-Servern, die sie nicht erkennen. Anmeldeinformationen, die möglicherweise exponiert wurden, sollten rotiert werden, einschließlich SSH-Schlüssel, Datenbank- und RADIUS-Passwörter, VPN-Zertifikate und Anwendungsgeheimnisse, da Patchen einen bereits installierten Agenten nicht entfernt oder ein bereits kopiertes Passwort nicht zurücksetzt. Teams sollten nach versteckten Wegen zurück suchen, wie unerwartete SUID-Dateien (Programme, die mit erhöhten Berechtigungen ausgeführt werden), Web-Shells, geänderte SSH-Schlüssel und neu hinzugefügte Remote-Management-Software. Protokolle und Beweise sollten vor der Bereinigung aufbewahrt werden, da das eigene Skript des Angreifers darauf ausgelegt war, sie zu löschen.

Für Teams, die für ähnliche Remote-Access- oder Hosting-Infrastruktur verantwortlich sind, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung, die helfen kann, Konfigurationen zu überprüfen und Edge-Geräte zu härten, bevor sie zu versteckten Einstiegspunkten werden.

Wichtige Indikatoren aus dem Bericht, in entschärfter Form dargestellt, umfassen die Server-IP-Adresse des Angreifers 92.63.180[.]133 (Port 8888 enthielt das offene Verzeichnis, Port 9443 empfing den Exploit-Callback), die MeshCentral-Kontrollserver-Domain www.ayuthayatech[.]com, die Gerätegruppe TH-3BB, Persistenzpfade /usr/local/bin/.rc und /usr/local/mesh_services/meshagent/ sowie die Ziele mail.3bb.co[.]th (FortiGate SSL-VPN) und agent.3bb.co[.]th (internes Portal). Die vollständige Liste der Indikatoren befindet sich im Bericht von Hunt.io.