Pesquisadores descobriram um servidor de staging controlado por atacantes contendo evidências de uma intrusão de amplo alcance targeting 3BB, a marca consumidora operada pela Triple T Broadband da Tailândia. A investigação liga a operação à exploração de uma vulnerabilidade crítica de SSL-VPN, seguida de elevação de privilégios, roubo de credenciais, reconhecimento interno, movimento lateral e acesso remoto persistente.
Descoberta e escopo
A Hunt.io registrou pela primeira vez o diretório aberto em 92.63.180[.]133:8888 em 3 de junho de 2026. Hospedado na infraestrutura Bangmod Enterprise, o servidor continha 298 arquivos em 30 subdiretórios, totalizando 19 MB. A coleção forneceu uma visão incomumente detalhada da operação do atacante, incluindo scripts de exploração do FortiGate, ferramentas de escalonamento de privilégios Linux, utilitários de força bruta SSH e configurações de agente MeshCentral.
Vulnerabilidade explorada
O alvo inicial aparente foi um appliance FortiGate 60F SSL-VPN exposto através de mail.3bb.co[.]th:10443. Os scripts de reconhecimento testaram várias vulnerabilidades históricas antes de focar no CVE-2024-21762. Esta é uma vulnerabilidade crítica de escrita fora dos limites no componente SSL-VPN do FortiOS e FortiProxy, permitindo que um atacante remoto não autenticado execute código arbitrário ou comandos. Possui pontuação CVSS de 9.8 na NVD e foi adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas da CISA em fevereiro de 2024.
Técnicas de persistência
Após estabelecer acesso, o atacante implantou o MeshCentral como uma backdoor de gerenciamento remoto persistente. A configuração recuperada atribuiu máquinas infectadas a um grupo de dispositivos chamado TH-3BB e direcionou agentes para www.ayuthayatech[.]com. Scripts de limpeza deletaram arquivos de exploração e logs de autenticação, preservando intencionalmente o serviço MeshCentral para manter o controle.
Alcance e impacto
A operação estendeu-se além do appliance FortiGate. Script de reconhecimento visaram um portal de vendas baseado em CodeIgniter atrás de um appliance F5 BIG-IP. O atacante preparou opções de escalonamento de privilégios para servidores Linux comprometidos, incluindo exploits Dirty COW e PwnKit. Scripts de coleta de credenciais buscaram chaves privadas SSH, senhas de banco de dados e strings de comunidade SNMP, potencialmente expondo registros de autenticação de assinantes.
Medidas de mitigação recomendadas
A Fortinet identifica FortiOS 7.2.0 até 7.2.6, 7.0.0 até 7.0.13 e 6.4.0 até 6.4.14 como vulneráveis. Administradores devem atualizar para uma versão corrigida suportada. Onde o patch imediato não for possível, a Fortinet recomenda desativar o SSL-VPN inteiramente, pois desativar apenas o modo web não é uma solução válida. Organizações afetadas devem investigar agentes MeshCentral inesperados e tráfego de reverse-shell.
O que os CISOs devem fazer imediatamente
- Rodar certificados VPN, segredos RADIUS, credenciais de banco de dados e chaves SSH.
- Preservar evidências forenses antes da remediação devido à atividade anti-forense deliberada.
- Verificar logs de segurança por lacunas inexplicáveis e arquivos SUID ocultos.
- Monitorar conexões externas para IPs conhecidos associados à campanha (ex: 92.63.180[.]133).