Hackerangriff auf Thailands Netzbetreiber 3BB

BANGKOK, Thailand – Ein Angreifer hatte Zugriff auf das interne Netzwerk des thailändischen Breitbandanbieters 3BB und kontrollierte mehrere Rechner mit Administratorrechten. Nach Angaben des Sicherheitsunternehmens Hunt.io zielte die Operation auf Kundendaten, doch ein Diebstahl dieser Daten ist nicht belegt.

Angreifer kontrollierte interne Rechner

Hunt.io entdeckte auf einem frei erreichbaren Server Werkzeuge des Angreifers und eine Liste bereits kontrollierter Geräte. Die Forscher sicherten den Server am 3. Juni 2026, während der Angriff noch lief.

Die dort gefundenen Werkzeuge waren von einem Rechner aus dem 3BB-Netzwerk gestartet worden. Eine Datei zeigte, dass der Angreifer auf einem internen Server vollständige Administratorrechte, sogenannte Root-Rechte, erlangt hatte.

MeshCentral diente als versteckter Zugang

Um den Zugriff zu behalten, installierte der Angreifer MeshCentral. Das kostenlose Programm wird normalerweise von IT-Teams zur Fernverwaltung von Computern eingesetzt.

Die Einstellungen zeigten, dass MeshCentral als versteckter Zugang eingerichtet war. Die installierten Agenten meldeten sich bei einem Kontrollserver unter www.ayuthayatech[.]com und waren einer Gerätegruppe mit dem Namen TH-3BB zugeordnet.

Mehrere Geräte liefen mit Root-Rechten

Eine vom Server geborgene Geräteliste enthielt die Rechner, die in die MeshCentral-Umgebung aufgenommen worden waren. Mehrere dieser Geräte waren zum Zeitpunkt der Erstellung verbunden und liefen mit Root-Rechten.

Nach Einschätzung der Forscher belegte die Liste, dass der Angreifer damals aktiven administrativen Zugriff besaß. Ob dieser Zugriff noch besteht, ist nicht bekannt.

Spuren sollten beseitigt werden

Der Angreifer hatte ein Bereinigungsskript vorbereitet, das Protokolle und weitere Werkzeuge löschen sollte. Den MeshCentral-Agenten ließ das Skript absichtlich zurück, damit der Zugang bestehen blieb.

Innerhalb des Netzwerks versuchte der Angreifer, seine Reichweite auszuweiten. Skripte probierten Passwörter per SSH auf mehr als 55 internen Computern aus und suchten nach gespeicherten Passwörtern, Datenbankzugängen und SSH-Schlüsseln.

Interne Systeme und Zugangsdaten im Visier

Weitere Werkzeuge konnten Web-Shells und versteckte Seiten einrichten, über die Befehle ausgeführt werden. Außerdem konnten sie zusätzliche SSH-Schlüssel hinterlegen, um weitere Zugänge zu schaffen.

Die Skripte sondierten auch das interne Verkaufsportal von 3BB unter agent.3bb.co[.]th. Hunt.io zufolge lag das Hauptziel aber bei den Teilnehmerdaten des Anbieters.

RADIUS-Datenbanken sollten kopiert werden

Auf dem Server lagen Skripte, die zum Kopieren der RADIUS-Datenbanken von 3BB vorgesehen waren. Diese Systeme speichern die Zugangsdaten, mit denen sich Breitbandkunden am Internet anmelden.

Die Funde belegen, dass die Datenbanken ins Visier genommen wurden. Sie belegen nicht, dass tatsächlich Daten aus den Datenbanken abgezogen wurden.

Angreifer zielte möglicherweise auch auf Jasmine

Der Server enthielt außerdem ein gültiges VPN-Zertifikat aus den Systemen von 3BB sowie aktive Anmeldesitzungen für Dienste im Jasmine-Netzwerk. 3BB gehörte früher zu Jasmine und teilt weiterhin Infrastruktur mit dem Unternehmen.

Hunt.io wertete dies als Hinweis darauf, dass der Angreifer gegen beide Unternehmen vorging. Einen erfolgreichen Einbruch in das Jasmine-Netzwerk bestätigten die Forscher jedoch nicht.

Ursprung des Zugriffs bleibt offen

Wie der Angreifer zunächst in das 3BB-Netzwerk gelangte, ist nicht geklärt. Auf dem offenen Server lag allerdings ein umfangreiches Werkzeugpaket für ein FortiGate-SSL-VPN-Gateway von 3BB unter mail.3bb.co[.]th.

Dazu gehörte ein vollständiger Exploit für die Fortinet-Sicherheitslücke CVE-2024-21762. Die Schwachstelle kann eine Ausführung von Code ohne Anmeldung ermöglichen, und das angegriffene Gateway lief mit einer betroffenen Firmware-Version.

Exploit nicht als Einstiegsweg bestätigt

Die Beweise von Hunt.io zeigen nicht, dass der Exploit erfolgreich eingesetzt wurde. Auch ist nicht belegt, dass der Angreifer über dieses FortiGate-Gerät in das Netzwerk gelangte.

Das Werkzeug für das FortiGate-Gateway war zwar der am weitesten ausgearbeitete Teil des Pakets. Es belegt nach Angaben der Forscher aber nur die Fähigkeiten und Absichten des Angreifers, nicht den tatsächlichen Ablauf des Eindringens.

Offenes Verzeichnis inzwischen geschlossen

Der Angreifer hat das frei erreichbare Verzeichnis inzwischen geschlossen. Die Funde beschreiben den Stand der Operation Anfang Juni, nicht die aktuelle Lage bei 3BB.

Hunt.io informierte die betroffenen Unternehmen und das zuständige nationale Reaktionsteam vor der Veröffentlichung über die Ergebnisse. Die vollständigen technischen Angaben und Indikatoren stehen im Bericht des Sicherheitsunternehmens.

Unternehmen sollen Zugänge prüfen

Organisationen mit vergleichbaren Systemen sollen FortiGate-SSL-VPN-Geräte gegen CVE-2024-21762 absichern. Laut Fortinet sollte SSL-VPN abgeschaltet werden, wenn eine sofortige Aktualisierung nicht möglich ist. Nur den Web-Modus zu deaktivieren, gilt demnach nicht als ausreichende Lösung.

Betreiber sollen außerdem nach unbekannten MeshCentral-Agenten und Verbindungen zu nicht erkannten Verwaltungsservern suchen. Möglicherweise offengelegte SSH-Schlüssel, Datenbank- und RADIUS-Passwörter, VPN-Zertifikate sowie Zugangsdaten von Anwendungen sollten ersetzt werden.

Spuren vor der Bereinigung sichern

Die Sicherheitsprüfung sollte auch nach versteckten Rückwegen suchen. Dazu zählen unerwartete SUID-Dateien, Web-Shells, veränderte SSH-Schlüssel und neu installierte Fernwartungssoftware.

Protokolle und Beweise sollten vor einer Bereinigung gesichert werden, weil das gefundene Skript genau diese Spuren löschen sollte. Als technische Hinweise nannte Hunt.io unter anderem die IP-Adresse 92.63.180[.]133, den Kontrollserver www.ayuthayatech[.]com sowie die Pfade /usr/local/bin/.rc und /usr/local/mesh_services/meshagent/.

Lesen Sie auch: 14.000 ausländische Firmen unter Verdacht

Was denkst du darüber? Schreib uns deine Meinung in die Kommentare.

Lesen Sie auch: Forscher zählen Hunderte Haie in Krabi