Intrusione in 3BB ha usato la backdoor MeshCentral per l'accesso root

I ricercatori di sicurezza di Hunt.io hanno pubblicato i dettagli di un'intrusione all'interno di 3BB, un importante provider di banda larga thailandese, in cui un attaccante ha usato MeshCentral, un legittimo strumento di gestione remota, come backdoor nascosta per mantenere il controllo amministrativo di macchine interne. I ricercatori affermano di aver scoperto l'operazione perché l'attaccante ha lasciato un server aperto su internet che conteneva i suoi stessi strumenti e un elenco di macchine già sotto il suo controllo.

Hunt.io ha catturato il server esposto il 3 giugno 2026, mentre l'operazione era ancora in corso. Gli strumenti su quel server erano stati eseguiti da un computer all'interno della rete di 3BB, e un file recuperato mostrava che l'attaccante aveva ottenuto il controllo amministrativo completo, noto come root, di un server interno. Per mantenere quell'accesso, l'attaccante ha installato MeshCentral, un programma gratuito che i team IT usano normalmente per gestire i computer a distanza. Le impostazioni recuperate mostrano che era stato configurato come backdoor nascosta: gli agenti riportavano a un server di controllo gestito dall'attaccante su www.ayuthayatech[.]com, sotto un gruppo di dispositivi chiamato TH-3BB. Hunt.io osserva che gli attaccanti abusano sempre più di questo tipo di software di gestione remota affidabile perché la sua attività si confonde con l'amministrazione di routine.

Un elenco di dispositivi recuperato dal server indicava le macchine iscritte alla configurazione MeshCentral dell'attaccante, e diverse erano connesse e funzionanti con privilegi di root quando l'elenco è stato creato. Secondo i ricercatori, ciò dimostrava che l'attaccante aveva il controllo amministrativo attivo in quel momento. Uno script di pulizia separato era stato scritto per cancellare i log ed eliminare gli altri strumenti dell'attaccante, lasciando deliberatamente in posizione l'agente MeshCentral in modo che l'accesso sopravvivesse.

All'interno della rete, l'attaccante ha lavorato per ampliare l'accesso. Gli script recuperati lanciavano attacchi a forza bruta contro più di 55 computer interni tramite SSH, un metodo sicuro per accedere a computer remoti, e sondavano il portale vendite interno di 3BB su agent.3bb.co[.]th. Gli script cercavano anche sulle macchine compromesse password memorizzate, credenziali di database e chiavi SSH, che sono credenziali digitali usate per accedere senza digitare una password. Altri script potevano installare web shell, pagine nascoste che eseguono i comandi di un attaccante, e aggiungere chiavi SSH come vie di rientro di riserva.

Hunt.io ha dichiarato che l'obiettivo principale dell'attaccante erano i dati degli abbonati di 3BB. Gli script sul server erano progettati per copiare i database RADIUS dell'azienda, i sistemi che memorizzano le credenziali di accesso usate dai clienti broadband per connettersi. Le prove mostrano che quei database erano presi di mira, non che siano stati sottratti dati. Lo stesso server indicava un secondo obiettivo: conteneva un certificato VPN valido dai sistemi di 3BB e sessioni di accesso attive per servizi sulla rete Jasmine, un'azienda di cui 3BB faceva parte e con cui condivide ancora infrastrutture. Hunt.io ha affermato che ciò suggeriva che l'attaccante stesse operando contro entrambi, sebbene non abbia confermato che Jasmine stessa sia stata violata.

Come l'attaccante abbia inizialmente ottenuto l'accesso a 3BB non è stabilito. Il server conteneva un kit completo di strumenti mirato a un gateway FortiGate SSL-VPN di 3BB, il dispositivo di accesso remoto su mail.3bb.co[.]th, incluso un exploit completo per CVE-2024-21762, una grave vulnerabilità Fortinet del 2024 che consente a un attaccante di eseguire codice sul dispositivo senza effettuare l'accesso. Il gateway preso di mira eseguiva una versione di firmware affetta dalla vulnerabilità. Tuttavia, nulla di ciò che Hunt.io ha recuperato mostra che l'exploit abbia effettivamente funzionato, o che sia stato il modo in cui l'attaccante è entrato. Gli strumenti FortiGate erano la parte più sviluppata del kit, ma indicano la capacità e l'intenzione dell'attaccante, non una violazione confermata attraverso quel dispositivo.

Da allora l'attaccante ha chiuso la directory esposta. Non si sa se abbia ancora accesso all'interno di 3BB, perché le prove descrivono l'intrusione come si presentava all'inizio di giugno, non oggi. I ricercatori hanno affermato di aver notificato le aziende colpite e il team nazionale di risposta competente prima di pubblicare.

Il rapporto di Hunt.io elenca diverse misure difensive per le organizzazioni che gestiscono dispositivi perimetrali e sistemi di autenticazione simili. Le organizzazioni dovrebbero applicare le patch o confermare che gli appliance FortiGate SSL-VPN siano corretti contro CVE-2024-21762. L'avviso di Fortinet afferma che se non è possibile applicare subito la patch, si dovrebbe disattivare SSL-VPN, e che disattivare solo la modalità web non è una soluzione valida. Dovrebbero anche verificare la presenza di agenti MeshCentral non installati da loro, e di connessioni a server di gestione che non riconoscono. Le credenziali che potrebbero essere state esposte dovrebbero essere cambiate, incluse chiavi SSH, password di database e RADIUS, certificati VPN e segreti delle applicazioni, perché l'applicazione delle patch non rimuove un agente già installato né reimposta una password già copiata. I team dovrebbero cercare vie di rientro nascoste, come file SUID inattesi (programmi che vengono eseguiti con permessi elevati), web shell, chiavi SSH modificate e software di gestione remota aggiunti di recente. Log e prove dovrebbero essere conservati prima della pulizia, perché lo script dell'attaccante era progettato per cancellarli.

Per i team responsabili di infrastrutture simili di accesso remoto o hosting, AEU-I offre servizi IT, infrastrutturali e di consulenza improntati alla sicurezza, che possono aiutare a rivedere le configurazioni e a rafforzare i dispositivi perimetrali prima che diventino punti di ingresso nascosti.

Gli indicatori chiave del rapporto, mostrati in forma defanged, includono l'indirizzo IP del server dell'attaccante 92.63.180[.]133 (la porta 8888 conteneva la directory aperta, la porta 9443 riceveva il callback dell'exploit), il dominio del server di controllo MeshCentral www.ayuthayatech[.]com, il gruppo di dispositivi TH-3BB, i percorsi di persistenza /usr/local/bin/.rc e /usr/local/mesh_services/meshagent/, e gli obiettivi mail.3bb.co[.]th (FortiGate SSL-VPN) e agent.3bb.co[.]th (portale interno). L'elenco completo degli indicatori è nel rapporto di Hunt.io.