Um invasor operava dentro da rede da 3BB, uma das maiores provedoras de banda larga da Tailândia, e mantinha controle remoto de máquinas internas com o uso de uma ferramenta legítima de gerenciamento chamada MeshCentral, segundo a empresa de inteligência de ameaças Hunt.io.
A empresa descobriu a intrusão ao analisar um servidor que o invasor havia deixado exposto na internet. Nesse servidor, estavam armazenadas as próprias ferramentas do atacante e uma lista de máquinas já sob seu controle.
Os pesquisadores capturaram o servidor exposto em 3 de junho de 2026, enquanto a operação ainda estava ativa. As ferramentas nele encontradas haviam sido executadas a partir de um computador dentro da própria rede da 3BB, e um dos arquivos recuperados mostrava o invasor obtendo controle administrativo total, conhecido como root, de um servidor interno.
Para manter esse acesso, o invasor instalou o MeshCentral, uma ferramenta gratuita que equipes de TI costumam usar para administrar computadores remotamente. As configurações recuperadas mostram que ele foi configurado como um backdoor oculto, com os agentes se comunicando com um servidor de controle operado pelo atacante em www.ayuthayatech[.]com, sob um grupo de dispositivos chamado TH-3BB.
Hackers vêm abusando cada vez mais desse tipo de software de gerenciamento remoto porque ele é confiável e sua atividade se mistura ao trabalho rotineiro de administração.
Uma lista de dispositivos recuperada do servidor identificava as máquinas incluídas na configuração do MeshCentral do invasor. Várias estavam conectadas e em execução com privilégios de root no momento em que a lista foi criada, o que, segundo os pesquisadores, mostrava que o atacante tinha controle administrativo ativo naquela fase.
Um script separado de limpeza foi escrito para apagar logs e excluir outras ferramentas do invasor, ao mesmo tempo em que deixava o agente do MeshCentral intencionalmente em funcionamento, para que o acesso continuasse mesmo após a limpeza.
Dentro da rede, o atacante trabalhou para ampliar seu alcance. Scripts recuperados disparavam tentativas de senha contra mais de 55 computadores internos via SSH, investigavam o portal interno de vendas da 3BB em agent.3bb.co[.]th e procuravam, em máquinas comprometidas, senhas armazenadas, credenciais de banco de dados e chaves SSH. Outros scripts podiam implantar web shells, páginas ocultas que executam comandos do invasor, e adicionar chaves SSH como formas alternativas de retorno.
A Hunt.io afirmou que o principal objetivo do invasor eram os dados dos assinantes da 3BB. Scripts no servidor foram desenvolvidos para copiar os bancos de dados RADIUS da empresa, sistemas que armazenam as credenciais de login usadas pelos clientes de banda larga para acessar a internet. As evidências mostram que esses bancos de dados foram alvo, mas não confirmam que dados tenham sido roubados.
O mesmo servidor também apontou para um segundo alvo. Ele continha um certificado VPN válido dos próprios sistemas da 3BB e sessões de login ativas para serviços na rede Jasmine, empresa da qual a 3BB fez parte no passado e com a qual ainda compartilha infraestrutura. A Hunt.io disse que isso sugere que o atacante estava agindo contra ambas, embora não tenha confirmado se a Jasmine também foi comprometida.
Ainda não está estabelecido como o invasor conseguiu o acesso inicial à 3BB. O servidor continha um conjunto completo de ferramentas voltado para um gateway FortiGate SSL-VPN da 3BB, o equipamento de acesso remoto em mail.3bb.co[.]th, incluindo um exploit completo para o
CVE-2024-21762
, uma falha grave da Fortinet descoberta em 2024 que permite a execução de código no dispositivo sem autenticação. O gateway alvo estava executando uma versão de firmware afetada pela falha.
Mas nada do que a Hunt.io recuperou mostra que o exploit realmente funcionou ou que tenha sido esse o método usado para a invasão. As ferramentas para o FortiGate eram a parte mais desenvolvida do conjunto, mas indicam mais a capacidade e a intenção do atacante do que uma invasão confirmada por esse dispositivo.
Desde então, o invasor fechou o diretório exposto. Não se sabe se ele ainda mantém acesso dentro da 3BB, porque as evidências descrevem a intrusão como ela estava no início de junho, e não hoje.
Os pesquisadores afirmaram que notificaram as empresas afetadas e a equipe nacional de resposta relevante sobre suas descobertas antes da publicação.
O que os defensores devem fazer
O conjunto de ferramentas recuperado aponta para uma série clara de medidas para organizações que operam dispositivos de borda e sistemas de autenticação semelhantes:
• Aplicar o patch ou confirmar que os appliances FortiGate SSL-VPN estão corrigidos contra o
CVE-2024-21762
. O alerta da Fortinet informa que, se não for possível corrigir imediatamente, o SSL-VPN deve ser desativado, e que desativar apenas o modo web não é uma solução válida.
• Verificar se há agentes do MeshCentral que não tenham sido instalados pela equipe e conexões com servidores de gerenciamento desconhecidos.
• Rotacionar credenciais que possam ter sido expostas, incluindo chaves SSH, senhas de banco de dados e RADIUS, certificados VPN e segredos de aplicação. Aplicar patch não remove um agente já instalado nem redefine uma senha que já tenha sido copiada.
• Procurar formas ocultas de retorno, como arquivos SUID inesperados, web shells, chaves SSH alteradas e software de gerenciamento remoto recém-adicionado.
• Preservar logs e evidências antes de limpar o ambiente, porque o próprio script do invasor foi construído para apagá-los.
Principais indicadores do relatório, em formato defangado:
• Endereço IP: 92.63.180[.]133, servidor do atacante, com a porta 8888 contendo o diretório exposto e a porta 9443 recebendo o retorno do exploit
• Domínio: www.ayuthayatech[.]com, servidor de controle do MeshCentral
• Grupo do MeshCentral: TH-3BB
• Caminhos de persistência: /usr/local/bin/.rc, um backdoor oculto, e /usr/local/mesh_services/meshagent/
• Alvos: mail.3bb.co[.]th (FortiGate SSL-VPN) e agent.3bb.co[.]th (portal interno)
A lista completa de indicadores, junto com os detalhes técnicos, está no relatório da Hunt.io.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...