El atacante 3BB utilizó una puerta trasera de MeshCentral para obtener acceso de root y se centró en las credenciales de los suscriptores

Una empresa de inteligencia de amenazas descubrió que un atacante logró infiltrarse en la red de uno de los principales proveedores de banda ancha en Tailandia, manteniendo el control remoto de equipos internos. Los investigadores identificaron el acceso tras examinar un servidor expuesto en internet que contenía las herramientas del agresor y un registro de las máquinas comprometidas.

Para conservar el control dentro de la infraestructura, el intruso recurrió a una herramienta legítima de gestión remota configurada como un acceso oculto o puerta trasera, la cual se comunicaba con un servidor de control específico. Asimismo, el actor malicioso intentó expandir su alcance ejecutando pruebas de contraseñas en numerosos ordenadores internos, explorando portales de ventas de la compañía y buscando credenciales almacenadas, llaves de acceso y datos de bases de sesión.

El objetivo principal del ataque eran los datos de los suscriptores, específicamente sistemas que almacenaban las credenciales de los clientes de banda ancha, aunque los indicios apuntan a que dichas bases de datos fueron apuntadas pero no se confirmó una extracción de información. Adicionalmente, el servidor hallado contenía elementos que apuntaban a un segundo objetivo relacionado con una red asociada, y contaba con herramientas dirigidas a una pasarela de acceso remoto específica, aunque no se pudo determinar con certeza si la intrusión inicial ocurrió a través de esa vía.