El atacante 3BB utilizó una puerta trasera de MeshCentral para obtener acceso de root y se centró en las credenciales de los suscriptores

Una em­pre­sa de in­te­li­gen­cia de ame­na­zas des­cu­brió que un ata­can­te logró in­fil­trar­se en la red de uno de los prin­ci­pa­les pro­vee­do­res de banda ancha en Tai­lan­dia, man­te­nien­do el con­trol re­mo­to de equi­pos in­ter­nos. Los in­ves­ti­ga­do­res iden­ti­fi­ca­ron el ac­ce­so tras exa­mi­nar un ser­vi­dor ex­pues­to en in­ter­net que con­te­nía las he­rra­mien­tas del agre­sor y un re­gis­tro de las má­qui­nas com­pro­me­ti­das.

Para con­ser­var el con­trol den­tro de la in­fra­es­truc­tu­ra, el in­tru­so re­cu­rrió a una he­rra­mien­ta le­gí­ti­ma de ges­tión re­mo­ta con­fi­gu­ra­da como un ac­ce­so ocul­to o puer­ta tra­se­ra, la cual se co­mu­ni­ca­ba con un ser­vi­dor de con­trol es­pe­cí­fi­co. Asi­mis­mo, el actor ma­li­cio­so in­ten­tó ex­pan­dir su al­can­ce eje­cu­tan­do prue­bas de con­tra­se­ñas en nu­me­ro­sos or­de­na­do­res in­ter­nos, ex­plo­ran­do por­ta­les de ven­tas de la com­pa­ñía y bus­can­do cre­den­cia­les al­ma­ce­na­das, lla­ves de ac­ce­so y datos de bases de se­sión.

El ob­je­ti­vo prin­ci­pal del ata­que eran los datos de los sus­crip­to­res, es­pe­cí­fi­ca­men­te sis­te­mas que al­ma­ce­na­ban las cre­den­cia­les de los clien­tes de banda ancha, aun­que los in­di­cios apun­tan a que di­chas bases de datos fue­ron apun­ta­das pero no se con­fir­mó una ex­trac­ción de in­for­ma­ción. Adi­cio­nal­men­te, el ser­vi­dor ha­lla­do con­te­nía ele­men­tos que apun­ta­ban a un se­gun­do ob­je­ti­vo re­la­cio­na­do con una red aso­cia­da, y con­ta­ba con he­rra­mien­tas di­ri­gi­das a una pa­sa­re­la de ac­ce­so re­mo­to es­pe­cí­fi­ca, aun­que no se pudo de­ter­mi­nar con cer­te­za si la in­tru­sión ini­cial ocu­rrió a tra­vés de esa vía.