โผล่ผู้โจมตี 3BB ออกมาใช้ช่องทางลับของ MeshCentral Backdoor เข้าถึงรูทและข้อมูลรับรองผู้สมัครสมาชิกตกเป้าหมาย

ผู้โจมตีรายหนึ่งปฏิบัติการภายในเครือข่ายของ 3บีบี หนึ่งในผู้ให้บริการบรอดแบนด์รายใหญ่ที่สุดของประเทศไทย และรักษาการควบคุมเครื่องภายในจากระยะไกลโดยใช้เครื่องมือการจัดการที่ถูกต้องตามกฎหมายที่เรียกว่า MeshCentral บริษัทข่าวกรองภัยคุกคาม Hunt.io กล่าว บริษัทเปิดเผยการบุกรุกโดยตรวจสอบเซิร์ฟเวอร์ที่ผู้โจมตีเปิดทิ้งไว้บนอินเทอร์เน็ต ซึ่งเก็บเครื่องมือของผู้โจมตีและรายการเครื่องที่อยู่ภายใต้การควบคุมของพวกเขา นักวิจัยได้จับภาพเซิร์ฟเวอร์ที่ถูกเปิดเผยเมื่อวันที่ 3 มิถุนายน 2569 ขณะที่การดำเนินการยังคงเผยแพร่อยู่ เครื่องมือบนเครื่องมือดังกล่าวถูกเรียกใช้จากคอมพิวเตอร์ภายในเครือข่ายของ 3BB และไฟล์ที่กู้คืนได้หนึ่งไฟล์แสดงให้เห็นว่าผู้โจมตีได้รับการควบคุมการดูแลระบบเต็มรูปแบบหรือที่เรียกว่ารูทของเซิร์ฟเวอร์ภายใน เพื่อรักษาการเข้าถึงดังกล่าว ผู้โจมตีได้ติดตั้ง MeshCentral ซึ่งเป็นเครื่องมือฟรีที่ทีมไอทีมักใช้ในการจัดการคอมพิวเตอร์จากระยะไกล การตั้งค่าที่กู้คืนได้แสดงให้เห็นว่ามีการกำหนดค่าเป็นแบ็คดอร์ที่ซ่อนอยู่ โดยเจ้าหน้าที่รายงานไปยังเซิร์ฟเวอร์ควบคุมว่าผู้โจมตีทำงานที่ www.ayuthayatech[.]com ภายใต้กลุ่มอุปกรณ์ชื่อ TH-3BB ผู้โจมตีใช้ซอฟต์แวร์การจัดการระยะไกลในทางที่ผิดมากขึ้นเรื่อยๆ เนื่องจากมีความน่าเชื่อถือและกิจกรรมของซอฟต์แวร์ผสมผสานกับการดูแลระบบตามปกติ รายการอุปกรณ์ที่กู้คืนจากเซิร์ฟเวอร์ที่ตั้งชื่อเครื่องที่ลงทะเบียนในการตั้งค่า MeshCentral ของผู้โจมตี หลายๆ รายการเชื่อมต่อและทำงานด้วยสิทธิ์รูทเมื่อมีการสร้างรายการ ซึ่งนักวิจัยกล่าวว่าแสดงให้เห็นว่าผู้โจมตีมีการควบคุมการดูแลระบบที่ใช้งานได้ ณ จุดนั้น สคริปต์ล้างข้อมูลแยกต่างหากถูกเขียนขึ้นเพื่อลบบันทึกและลบเครื่องมืออื่นๆ ของผู้โจมตีโดยจงใจปล่อยให้ตัวแทน MeshCentral อยู่กับที่เพื่อให้การเข้าถึงยังคงอยู่ ภายในเครือข่าย ผู้โจมตีพยายามขยายการเข้าถึง สคริปต์ที่กู้คืนได้พ่นรหัสผ่านกับคอมพิวเตอร์ภายในมากกว่า 55 เครื่องผ่าน SSH ตรวจสอบพอร์ทัลการขายภายในของ 3BB ที่ agent.3bb.co[.]th และค้นหาเครื่องที่ถูกบุกรุกเพื่อหารหัสผ่านที่เก็บไว้ การเข้าสู่ระบบฐานข้อมูล และคีย์ SSH สคริปต์อื่นๆ สามารถฝังเชลล์เว็บ หน้าที่ซ่อนไว้ซึ่งรันคำสั่งของผู้โจมตี และเพิ่มคีย์ SSH เป็นวิธีสำรองในการกลับเข้ามา Hunt.io กล่าวว่าเป้าหมายหลักของผู้โจมตีคือข้อมูลสมาชิกของ 3BB สคริปต์บนเซิร์ฟเวอร์ถูกสร้างขึ้นเพื่อคัดลอกฐานข้อมูล RADIUS ของบริษัท ซึ่งเป็นระบบที่จัดเก็บข้อมูลรับรองการเข้าสู่ระบบที่ลูกค้าบรอดแบนด์ใช้ในการออนไลน์ หลักฐานแสดงให้เห็นว่าฐานข้อมูลเหล่านั้นตกเป็นเป้าหมาย ไม่ใช่ว่ามีการนำข้อมูลใดๆ ไปใช้ เซิร์ฟเวอร์เดียวกันชี้ไปที่เป้าหมายที่สอง มีใบรับรอง VPN ที่ถูกต้องจากระบบของ 3BB และเซสชันการเข้าสู่ระบบที่ใช้งานอยู่สำหรับบริการบนเครือข่าย Jasmine ซึ่งครั้งหนึ่งบริษัท 3BB เคยเป็นส่วนหนึ่งของและยังคงใช้โครงสร้างพื้นฐานร่วมกัน Hunt.io กล่าวว่าสิ่งนี้ชี้ให้เห็นว่าผู้โจมตีกำลังดำเนินการกับทั้งสอง แม้ว่าจะไม่ได้ยืนยันว่า Jasmine เองถูกละเมิดก็ตาม ผู้โจมตีสามารถเข้าถึง 3BB ได้อย่างไรยังไม่ทราบแน่ชัด เซิร์ฟเวอร์มีชุดเครื่องมือเต็มรูปแบบที่มุ่งเป้าไปที่เกตเวย์ SSL-VPN ของ 3BB FortiGate กล่องการเข้าถึงระยะไกลที่ mail.3bb.co[.]th รวมถึงการใช้ประโยชน์อย่างสมบูรณ์สำหรับ CVE-2024-21762 ซึ่งเป็นข้อบกพร่องร้ายแรงของ Fortinet ในปี 2024 ที่ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดบนอุปกรณ์โดยไม่ต้องเข้าสู่ระบบ เกตเวย์เป้าหมายกำลังเรียกใช้เวอร์ชันเฟิร์มแวร์ที่ได้รับผลกระทบจากข้อบกพร่อง แต่ไม่มีสิ่งใดที่ Hunt.io กู้คืนมาได้แสดงให้เห็นว่าช่องโหว่นั้นใช้งานได้จริง หรือเป็นวิธีที่ผู้โจมตีเข้ามาได้ เครื่องมือ FortiGate เป็นส่วนที่มีการพัฒนามากที่สุดของชุดอุปกรณ์ แต่ก็ชี้ไปที่ความสามารถและเจตนาของผู้โจมตี ไม่ใช่การยืนยันการบุกรุกผ่านอุปกรณ์นั้น ผู้โจมตีได้ปิดไดเรกทอรีที่ถูกเปิดเผยตั้งแต่นั้นมา ยังไม่ทราบว่าพวกเขายังคงเข้าถึงภายใน 3BB ได้หรือไม่ เนื่องจากหลักฐานบรรยายถึงการบุกรุกที่เกิดขึ้นเมื่อต้นเดือนมิถุนายน ไม่ใช่ในปัจจุบัน นักวิจัยกล่าวว่าพวกเขาได้แจ้งให้บริษัทที่ได้รับผลกระทบและทีมตอบสนองระดับชาติที่เกี่ยวข้องทราบเกี่ยวกับการค้นพบของพวกเขาก่อนที่จะเผยแพร่

ที่มา: https://thehackernews.com/2026/09/3bb-attacker-used-meshcentral-backdoor.html