Un proveedor tailandés de banda ancha ha sido víctima de un ataque informático a través de una vulnerabilidad de Fortinet

Un actor ma­li­cio­so logró in­fil­trar­se en los sis­te­mas de la em­pre­sa tai­lan­de­sa de in­ter­net fijo 3BB y de su an­ti­gua pro­pie­ta­ria, Jas­mi­ne. La in­tru­sión se de­tec­tó por­que los ata­can­tes ol­vi­da­ron su ar­se­nal de he­rra­mien­tas y scripts or­ga­ni­za­dos en un di­rec­to­rio abier­to alo­ja­do en in­fra­es­truc­tu­ras de Tai­lan­dia.

Para con­se­guir el ac­ce­so ini­cial, los ata­can­tes ana­li­za­ron de­ta­lla­da­men­te un punto final de For­ti­Ga­te SSL-VPN uti­li­zan­do di­ver­sos scripts para iden­ti­fi­car la ver­sión del firm­wa­re y bus­car fa­llos de se­gu­ri­dad. Pos­te­rior­men­te, em­plea­ron un ex­ploit para lo­grar la eje­cu­ción re­mo­ta de có­di­go, ade­más de rea­li­zar ta­reas de re­co­no­ci­mien­to en una ins­tan­cia F5 BIG-IP y en el por­tal in­terno de ven­tas de la com­pa­ñía.

Una vez den­tro, los in­tru­sos in­ten­ta­ron ob­te­ner pri­vi­le­gios de su­per­usua­rio en equi­pos Linux y con­fi­gu­ra­ron una puer­ta tra­se­ra me­dian­te Mesh­Cen­tral para man­te­ner el con­trol re­mo­to. Asi­mis­mo, uti­li­za­ron scripts orien­ta­dos a la re­co­lec­ción de cre­den­cia­les y al des­cu­bri­mien­to de hosts para mo­ver­se la­te­ral­men­te, cul­mi­nan­do sus ac­cio­nes con un pro­ce­so de lim­pie­za para bo­rrar ras­tros mien­tras pre­ser­va­ban su ac­ce­so per­sis­ten­te.