Открытый каталог на сервере в Таиланде раскрыл длительную атаку на сети тайского провайдера 3BB

Внутри хранились готовые средства для взлома. Сценарии поиска уязвимостей в межсетевых экранах, утилиты для атаки полным перебором (брутфорс), программы повышения прав в системе, инструменты сбора учётных данных. Отдельно лежала конфигурация агента удалённого управления и перечень машин, на которых этот агент уже работал. Попадались действующие файлы сессий, снятые с чужих серверов, и сертификаты доступа. Файлы разложены по папкам с пометками о назначении, что говорит о постоянной, а не разовой работе.

По данным Hunt.io, обнаруженный каталог относился к инфраструктуре тайской компании Bangmod Enterprise, а наблюдение за ним велось с 3 июня 2026 года. Собранные артефакты указывают на две связанные цели: внутренние сервисы 3BB и сеть Jasmine, с которой провайдера связывают общая история и инфраструктура. Речь шла не о разведке, а о полноценной операции с уже полученным доступом.

Первым шагом стало изучение внешнего узла удалённого доступа FortiGate. Сценарии определяли модель устройства и версию прошивки по ответам сервера, а затем проверяли несколько известных уязвимостей. Выбор пал на CVE-2024-21762. Эта ошибка позволяет выполнить чужой код на устройстве и получить контроль над ним. Для подтверждения уязвимости применялся контролируемый сбой службы: устройство перезагружалось, но не выходило из строя. После проверки следовала полная эксплуатация с обратным подключением к серверу атакующих. Дополнительно злоумышленники пытались скачать точную версию прошивки, выдавая себя за само устройство.

Закрепление в сети строилось на MeshCentral - легитимном инструменте удалённого администрирования. Его агенты обращались к управляющему домену, зарегистрированному в январе 2026 года. В конце июня регистратор домена сменился на Cloudflare. На момент обнаружения каталога несколько машин уже были подключены к панели управления, причём агент работал с правами администратора. Во внутреннем списке устройств фигурировала группа с названием, прямо указывающим на 3BB, и вторая группа, связанная с другой организацией.

Главной целью выглядели базы централизованной аутентификации RADIUS (служба проверки подлинности пользователей сети). Сценарии обращались к таблицам, где хранятся учётные данные абонентов и сведения о сетевом оборудовании. Кроме того, в каталоге найден действующий сертификат VPN, выпущенный собственной инфраструктурой оператора. При сохранении силы он открывает доступ к сети Jasmine. Файлы сессий указывают на параллельную работу против нескольких интернет-провайдеров, а не против одной компании.

Параллельно велась обработка внутреннего портала для агентов продаж. Злоумышленники подбирали ключ подписи сессий, пробовали подделать авторизацию, проверяли загрузку файлов и работу с параметрами запросов. Отдельное внимание досталось балансировщику нагрузки F5, который прикрывал портал: его проверяли на несколько известных уязвимостей и пытались обойти через рассинхронизацию разбора запросов. Одна из сохранённых страниц подтверждает, что доступ к закрытому разделу портала всё же был получен.

После закрепления злоумышленник расширял контроль. Сценарии перебирали пароли SSH (протокол удалённого доступа к серверу) более чем по 55 внутренним адресам, собирали закрытые ключи, конфигурации приложений и строки доступа к базам данных. Через операции с файлами MySQL разворачивались веб-оболочки и внедрялись дополнительные ключи. Для получения прав администратора применялись сразу несколько известных приёмов, рассчитанных на разные версии Linux. Часть использованных паролей относилась именно к инфраструктуре 3BB, но источник этих сведений не подтверждён. Об успехе говорит запись о выполнении команд с правами администратора на одном из внутренних серверов.

Отдельный сценарий отвечал за сокрытие следов. Он удалял инструменты, системные журналы и историю команд пользователей. При этом установленный агент удалённого управления сохранялся, а его работа проверялась отдельно. Такой подход говорит о расчёте на длительное присутствие в сети, а не на разовый доступ.

Организациям с пограничными устройствами стоит проверить версии прошивок FortiGate и закрыть уязвимость CVE-2024-21762. Журналы VPN полезно просмотреть на посторонние учётные записи и необычные подключения. Развёртывания MeshCentral требуют отдельной ревизии: лишние агенты и связи с неизвестными серверами - повод для разбирательства. Ключи SSH, пароли баз данных, сертификаты VPN и данные службы RADIUS лучше заменить. Там, где есть подозрение на взлом, до восстановления систем важно сохранить копии журналов: найденные сценарии очистки целенаправленно уничтожали следы, а значит, часть доказательств исчезнет при первой же перезагрузке.