Détection de l’intrusion
Hunt.io a identifié une compromission au sein du réseau de 3BB après avoir analysé un serveur exposé sur Internet le 3 juin 2026. L’adresse IP 92.63.180.133, qui hébergeait un répertoire ouvert sur le port 8888, contenait les outils de l’attaquant ainsi qu’une liste de machines déjà sous contrôle. Le même serveur, accessible via le domaine www.ayuthayatech.com, fonctionnait comme serveur de commande pour les agents MeshCentral déployés.
Utilisation de MeshCentral comme persistance
Les enquêteurs ont constaté que l’attaquant avait installé MeshCentral, un logiciel de gestion à distance gratuit, en mode caché. Les paramètres récupérés montrent un groupe nommé TH-3BB auquel les agents rapportaient. Les chemins de persistance découverts, /usr/local/bin/.rc et /usr/local/mesh_services/meshagent/, indiquent que l’agent restait actif même après l’exécution d’un script de nettoyage destiné à effacer les journaux et à supprimer les outils auxiliaires.
Exploitation du FortiGate et collecte d’identifiants
Le serveur compromis contenait un kit complet ciblant le dispositif FortiGate SSL‑VPN de 3BB (mail.3bb.co.th). Le kit incluait un exploit pour la vulnérabilité CVE‑2024‑21762, qui permet l’exécution de code sans authentification sur les firmwares affectés. Aucun indice ne prouve que cet exploit ait fonctionné, mais sa présence révèle la capacité technique de l’acteur. Parallèlement, des scripts ont balayé plus de 55 machines internes via SSH, ont interrogé le portail de vente interne (agent.3bb.co.th) et ont extrait des mots de passe, des clés SSH et des bases de données RADIUS contenant les identifiants des abonnés.
Recommandations de mitigation
Les organisations déployant des appliances FortiGate doivent appliquer le correctif contre CVE‑2024‑21762 ou désactiver le service SSL‑VPN si le correctif n’est pas immédiatement disponible. Une vérification exhaustive des agents MeshCentral non autorisés et des connexions vers des serveurs de gestion inconnus est indispensable. Tous les secrets exposés – mots de passe RADIUS, clés SSH, certificats VPN – doivent être régénérés, car la simple mise à jour du logiciel ne supprime pas les informations déjà compromises. Enfin, la préservation des journaux avant toute opération de nettoyage est cruciale, étant donné que l’attaquant a déployé un script dédié à l’effacement des traces.
