3BB 攻击者利用 MeshCentral 后门获取 root 权限，目标是用户凭据

威胁情报公司 Hunt.io 表示，一名攻击者在泰国最大宽带运营商之一 3BB 的网络内部活动，并使用一款名为 MeshCentral 的合法管理工具维持对内部机器的远程控制。

该公司通过检查攻击者遗留在互联网上开放的一台服务器发现了此次入侵，该服务器保存了攻击者自己的工具以及一份已被其控制的机器列表。

研究人员在 2026 年 6 月 3 日捕获了这台暴露的服务器，当时该行动仍在进行中。其上的工具是从 3BB 自身网络内的一台计算机运行的，一份恢复的文件显示攻击者获得了对一台内部服务器的完全管理控制权，即 root 权限。

为维持该访问权限，攻击者安装了 MeshCentral，这是一款 IT 团队通常用于远程管理计算机的免费工具。恢复的配置显示，它被配置为一个隐藏后门，其智能体向攻击者在 www.ayuthayatech[.]com 上运行的控制服务器报告，设备组名为 TH-3BB。

攻击者越来越多地滥用这类远程管理软件，因为它受信任，其活动会混入日常管理操作中。

从服务器恢复的一份设备列表列出了注册到攻击者 MeshCentral 设置中的机器。列表生成时，其中几台机器已连接并以 root 权限运行，研究人员称这表明攻击者当时保持着活跃的管理控制。

另一个单独的清理脚本被编写用于擦除日志并删除攻击者的其他工具，同时故意保留 MeshCentral 智能体，以使该访问权限得以存续。

在网络内部，攻击者努力扩大其访问范围。恢复的脚本通过 SSH 对 55 台以上的内部计算机进行密码喷洒，探测了 3BB 的内部销售门户 agent.3bb.co[.]th，并在受陷机器中搜索存储的密码、数据库登录凭据和 SSH 密钥。其他脚本可以植入 web shell（运行攻击者命令的隐藏页面），并添加 SSH 密钥作为备用返回途径。

Hunt.io 表示，攻击者的主要目标是 3BB 的用户数据。服务器上的脚本被构建用于复制该公司的 RADIUS 数据库，即存储宽带客户用于上网的登录凭据的系统。证据表明这些数据库是攻击目标，而非数据已被窃取。

同一台服务器还指向第二个目标。其中持有一张来自 3BB 自身系统的有效 VPN 证书，以及针对 Jasmine 网络上服务的活跃登录会话——Jasmine 是一家 3BB 曾隶属于且至今仍共享基础设施的公司。Hunt.io 称这表明攻击者同时对两者下手，但并未确认 Jasmine 本身已遭入侵。

攻击者最初如何获得对 3BB 的访问权限尚未确定。该服务器保存了一套针对 3BB 的 FortiGate SSL-VPN 网关（位于 mail.3bb.co[.]th 的远程访问设备）的完整工具包，包括针对 CVE-2024-21762 的完整漏洞利用程序——这是一个 2024 年的严重 Fortinet 漏洞，允许攻击者在无需登录的情况下在设备上运行代码。被针对的网关正运行受该漏洞影响的固件版本。

但 Hunt.io 恢复的任何内容都未表明该漏洞利用程序实际起效，也未表明这就是攻击者的入侵途径。这套 FortiGate 工具是工具包中开发最完善的部分，但它指向的是攻击者的能力和意图，而非通过该设备的已确认入侵。

攻击者此后已关闭该暴露的目录。他们是否仍在 3BB 内部保有访问权限尚不得而知，因为证据描述的是 6 月初的入侵状态，而非今天。

研究人员表示，他们在发布之前已将发现通知了受影响的公司和相关国家应急响应团队。

防御者应该怎么做

恢复的工具包为运行类似边缘设备和身份验证系统的组织指明了一系列明确的步骤：

• 修补或确认 FortiGate SSL-VPN 设备已修复 CVE-2024-21762。Fortinet 的公告称，如果无法立即修补，应关闭 SSL-VPN，且仅关闭 web 模式并不是有效的解决方法。
• 检查您未安装的 MeshCentral 智能体，以及与您不认识的管理服务器的连接。
• 轮换可能已暴露的凭据，包括 SSH 密钥、数据库和 RADIUS 密码、VPN 证书和应用程序机密。修补并不会移除已安装的智能体，也不会重置已被复制的密码。
• 搜寻隐藏的返回途径，如意外的 SUID 文件、web shell、被更改的 SSH 密钥以及新添加的远程管理软件。
• 在清理之前保留日志和证据，因为攻击者自己的脚本就是被构建用来删除它们的。