3BB bị cài MeshCentral làm cửa hậu để duy trì truy cập trái phép
"An attacker maintained unauthorized access inside Thailand broadband provider 3BB's network by deploying MeshCentral as a hidden backdoor and using it to retain root control on internal systems. The activity included credential harvesting, password spraying, SSH key collection, and attempts to target subscriber RADIUS databases; the article also notes a FortiGate SSL-VPN exploit for CVE-2024-21762 was present in the toolkit, but not confirmed as the initial entry point or as successfully used."
Rủi ro cao do duy trì quyền root, thu thập thông tin xác thực và khả năng bám trụ lâu dài bằng MeshCentral; có liên quan đến CVE-2024-21762 nhưng chưa xác nhận là điểm vào ban đầu.
Có thể ảnh hưởng đến dữ liệu thuê bao, hệ thống xác thực RADIUS và hoạt động quản trị nội bộ; cần ưu tiên xoay vòng thông tin đăng nhập và kiểm tra phạm vi lây nhiễm.
Hunt.io cho biết một tác nhân đe dọa đã duy trì quyền truy cập trái phép trong mạng của 3BB bằng cách cài MeshCentral như một cửa hậu để giữ quyền điều khiển từ xa trên các hệ thống nội bộ. Dấu vết thu thập được cho thấy kẻ tấn công đã đạt root trên một máy chủ nội bộ, sau đó dùng các script để quét mật khẩu, thu thập SSH key, tìm thông tin đăng nhập cơ sở dữ liệu và thử mở rộng phạm vi xâm nhập qua hơn 55 máy nội bộ.
Mục tiêu chính được nhắm tới là cơ sở dữ liệu RADIUS của thuê bao, nơi lưu thông tin xác thực dùng để truy cập Internet. Báo cáo cho biết có bằng chứng cho thấy các hệ thống này đã bị nhắm mục tiêu, nhưng chưa xác nhận dữ liệu đã bị trích xuất. Ngoài ra, bộ công cụ còn chứa mã khai thác cho CVE-2024-21762 trên FortiGate SSL-VPN, nhưng chưa có bằng chứng xác nhận đây là điểm xâm nhập ban đầu.
Khuyến nghị cho đội vận hành là vá hoặc vô hiệu hóa SSL-VPN nếu chưa thể cập nhật ngay, rà soát MeshCentral agent không rõ nguồn gốc, xoay vòng mật khẩu/SSH key/chứng chỉ VPN, và kiểm tra các dấu hiệu bám trụ như web shell, SUID bất thường hoặc remote-management software mới được cài đặt. Nên bảo toàn log và bằng chứng trước khi dọn dẹp hệ thống.