Wprowadzenie do problemu / definicja
Incydent dotyczący operatora 3BB pokazuje, jak skuteczne mogą być ataki wykorzystujące legalne narzędzia administracyjne zamiast klasycznego złośliwego oprogramowania. W tym przypadku napastnik posłużył się platformą MeshCentral, która na co dzień służy do zdalnego zarządzania systemami, lecz została wykorzystana jako ukryta furtka do utrzymania dostępu w środowisku ofiary.
Tego rodzaju technika jest szczególnie niebezpieczna, ponieważ aktywność intruza może przypominać zwykłe działania administratorów. To utrudnia wykrycie incydentu, wydłuża czas obecności atakującego w sieci i zwiększa ryzyko dalszej eskalacji uprawnień oraz dostępu do wrażliwych zasobów.
W skrócie
Badacze ustalili, że intruz działał wewnątrz sieci 3BB i wykorzystywał MeshCentral jako mechanizm trwałości oraz zdalnej kontroli nad hostami. Analiza dostępnych artefaktów wskazuje, że atakujący uzyskał uprawnienia root na co najmniej jednym systemie, próbował poruszać się bocznie przez SSH, wyszukiwał zapisane poświadczenia i przygotował dodatkowe mechanizmy utrzymania dostępu.
Szczególne znaczenie mają skrypty ukierunkowane na bazy RADIUS, które przechowują dane uwierzytelniające abonentów usług szerokopasmowych. Choć nie potwierdzono eksfiltracji danych, same przygotowania do kopiowania tych zasobów wskazują na wysoką wartość celu. Dodatkowo w infrastrukturze napastnika znaleziono narzędzia do ataku na FortiGate SSL-VPN, w tym exploit dla podatności CVE-2024-21762.
Kontekst / historia
Incydent ujawniono po analizie serwera pozostawionego przez napastnika publicznie dostępnego w internecie. Na tym hoście znajdowały się zarówno narzędzia operacyjne, jak i informacje o systemach kontrolowanych przez intruza. Zgromadzone dane sugerują, że operacja była aktywna na początku czerwca 2026 roku.
W analizowanej infrastrukturze znaleziono również odniesienia do środowisk powiązanych z Jasmine, co może wskazywać na zainteresowanie szerszym ekosystemem telekomunikacyjnym lub infrastrukturą współdzieloną. Nie potwierdzono jednak pełnej kompromitacji drugiego podmiotu. Sam charakter incydentu dobrze wpisuje się w rosnący trend ataków na operatorów telekomunikacyjnych, którzy pozostają atrakcyjnym celem z uwagi na dostęp do danych klientów, systemów uwierzytelniania i infrastruktury krytycznej dla świadczenia usług.
Analiza techniczna
Najważniejszym elementem technicznym ataku było użycie MeshCentral jako backdoora. Agenty raportowały do serwera kontrolowanego przez napastnika, umożliwiając zdalne zarządzanie przejętymi hostami. W praktyce oznaczało to wykorzystanie legalnego oprogramowania RMM jako narzędzia ofensywnego, co znacząco zmniejsza szansę szybkiego wykrycia przez organizację.
Z odzyskanych artefaktów wynika, że atakujący posiadał administracyjną kontrolę nad wieloma systemami, a na części z nich działał z uprawnieniami root. Przygotowano także skrypt czyszczący, którego zadaniem było usuwanie logów i jednorazowych narzędzi użytych podczas operacji, przy jednoczesnym pozostawieniu agenta MeshCentral. To pokazuje świadome podejście do rozdzielenia narzędzi tymczasowych od komponentu odpowiedzialnego za długoterminową trwałość.
W obszarze ruchu bocznego intruz wykorzystywał skrypty realizujące password spraying przez SSH wobec wielu hostów wewnętrznych. Inne znalezione pliki wskazywały na przeszukiwanie systemów pod kątem zapisanych haseł, danych dostępowych do baz danych oraz kluczy SSH. Zidentyfikowane narzędzia pozwalały również na osadzanie web shelli, dodawanie kluczy SSH jako alternatywnej ścieżki dostępu oraz wdrażanie ukrytych komponentów umożliwiających powrót do środowiska po częściowym czyszczeniu.
Szczególnie istotny był wątek związany z bazami RADIUS. Są to systemy przechowujące poświadczenia wykorzystywane przez abonentów do uzyskiwania dostępu do usług operatora. Skrypty znalezione w infrastrukturze napastnika były przygotowane do kopiowania tych baz, co jasno wskazuje na próbę pozyskania danych uwierzytelniających lub materiału przydatnego do dalszych nadużyć.
Badacze znaleźli również zestaw narzędzi przeznaczonych do ataku na bramę FortiGate SSL-VPN, w tym exploit dla CVE-2024-21762. Jest to krytyczna podatność umożliwiająca zdalne wykonanie kodu bez uwierzytelnienia na podatnych urządzeniach. Sama obecność exploita nie przesądza, że był to pierwotny wektor wejścia, ale wskazuje na gotowość operacyjną napastnika i możliwy scenariusz początkowej kompromitacji.
Konsekwencje / ryzyko
Najpoważniejsze ryzyko dotyczy potencjalnego naruszenia poufności i integralności systemów operatora oraz możliwości uzyskania dostępu do danych abonentów. Uprawnienia root na systemach wewnętrznych dają napastnikowi szerokie możliwości: od modyfikacji konfiguracji i logów, przez instalację kolejnych implantów, aż po przygotowanie sabotażu lub kradzieży danych.
W przypadku środowiska telekomunikacyjnego kompromitacja systemów RADIUS może prowadzić do przejęcia danych uwierzytelniających klientów, nadużyć związanych z dostępem do usług, a także dalszych kampanii phishingowych i prób przejęcia kont. Dodatkowym problemem jest to, że legalne narzędzia zdalnego zarządzania często nie są traktowane priorytetowo przez klasyczne mechanizmy detekcyjne oparte na sygnaturach malware’u.
Duże znaczenie ma również aspekt trwałości. Jeżeli podczas reakcji na incydent usunięto tylko widoczne narzędzia ofensywne, a przeoczono agenty zdalnego zarządzania, zmodyfikowane klucze SSH lub ukryte pliki wykonywalne, atakujący mógł zachować możliwość ponownego wejścia do środowiska. Ryzyko może być jeszcze większe w przypadku infrastruktury współdzielonej lub powiązanej z innymi podmiotami.
Rekomendacje
Organizacje powinny rozpocząć od pełnej walidacji urządzeń brzegowych, w szczególności koncentratorów SSL-VPN i zapór dostępowych. Należy potwierdzić, że urządzenia FortiGate zostały zaktualizowane pod kątem CVE-2024-21762, a w przypadku opóźnień w łataniu przeprowadzić analizę śladów potencjalnej kompromitacji.
Konieczne jest także aktywne przeszukanie środowiska pod kątem nieautoryzowanych instalacji MeshCentral oraz innych narzędzi RMM. Legalny charakter oprogramowania nie może wykluczać go z działań typu threat hunting.
- weryfikacja obecności nieznanych agentów i usług,
- analiza połączeń wychodzących do nierozpoznanych serwerów zarządzających,
- sprawdzenie niestandardowych lokalizacji binariów i skryptów startowych,
- identyfikacja procesów uruchamianych z podwyższonymi uprawnieniami bez uzasadnienia operacyjnego.
Równolegle należy przeprowadzić rotację poświadczeń, które mogły zostać skopiowane lub ujawnione. Dotyczy to haseł SSH, kluczy prywatnych, kont bazodanowych, certyfikatów VPN, sekretów aplikacyjnych oraz danych dostępowych do systemów RADIUS. Samo załatanie podatności nie eliminuje skutków wcześniejszego wycieku poświadczeń ani nie usuwa już wdrożonych implantów.
Z perspektywy DFIR i SOC kluczowe jest zabezpieczenie logów i artefaktów przed rozpoczęciem czyszczenia środowiska. Przed remediacją warto zebrać pamięć, logi systemowe, historię poleceń, wpisy autostartu, klucze SSH, harmonogramy zadań oraz zawartość katalogów tymczasowych. Dopiero po takiej analizie można bezpiecznie przejść do pełnej eradication.
Warto również zaostrzyć reguły detekcyjne dla następujących zachowań:
- nieautoryzowane połączenia SSH wewnątrz sieci,
- nietypowe próby logowania na wielu hostach,
- tworzenie lub modyfikacja plików SUID,
- dodawanie kluczy do plików authorized_keys,
- instalacja narzędzi zdalnego zarządzania poza zatwierdzonym katalogiem oprogramowania,
- dostęp do baz RADIUS i eksport danych poza standardowymi oknami operacyjnymi.
Podsumowanie
Atak na 3BB pokazuje, że współczesne operacje intruzów coraz częściej opierają się na nadużyciu legalnych narzędzi administracyjnych zamiast klasycznego malware’u. W tym przypadku kluczowe znaczenie miało użycie MeshCentral jako ukrytej furtki, uzyskanie uprawnień root, przygotowanie mechanizmów trwałości oraz zainteresowanie bazami RADIUS zawierającymi dane uwierzytelniające abonentów.
Obecność exploita dla CVE-2024-21762 dodatkowo podkreśla znaczenie szybkiego zarządzania podatnościami na urządzeniach brzegowych. Dla zespołów bezpieczeństwa najważniejszy wniosek jest jasny: skuteczna obrona musi obejmować nie tylko wykrywanie złośliwego kodu, ale również monitorowanie legalnych narzędzi, które w rękach napastników stają się elementem zaawansowanej kompromitacji.