Wprowadzenie do problemu / definicja
Nadużywanie legalnych narzędzi administracyjnych stało się jednym z najważniejszych trendów we współczesnych incydentach cyberbezpieczeństwa. Zamiast wdrażać klasyczne malware, które łatwiej wykryć na podstawie sygnatur lub anomalii, napastnicy coraz częściej sięgają po zaufane rozwiązania używane na co dzień przez działy IT. Taka taktyka utrudnia identyfikację incydentu, ponieważ aktywność atakującego może przypominać rutynowe działania administracyjne.
Przykładem jest ujawniony incydent dotyczący operatora szerokopasmowego 3BB. Z analizy wynika, że atakujący wykorzystywał MeshCentral jako ukryty mechanizm utrzymania dostępu do wewnętrznych systemów, a jego działania były nakierowane na przejęcie poświadczeń i rozszerzenie kontroli nad infrastrukturą.
W skrócie
Badacze ustalili, że napastnik działał wewnątrz środowiska 3BB i utrzymywał zdalny dostęp do hostów przy użyciu MeshCentral skonfigurowanego jako trwały backdoor. Część przejętych maszyn miała pozostawać pod aktywną kontrolą z uprawnieniami root, co dawało pełną możliwość zarządzania systemami linuksowymi.
- wykorzystanie MeshCentral do persistence i zdalnej kontroli hostów,
- obecność skryptów do czyszczenia śladów i rozprzestrzeniania dostępu przez SSH,
- próby wyszukiwania poświadczeń oraz przygotowania alternatywnych kanałów powrotu,
- ukierunkowanie działań na bazy RADIUS przechowujące dane uwierzytelniające abonentów,
- odnalezienie exploita dla FortiGate SSL-VPN związanego z CVE-2024-21762, bez jednoznacznego potwierdzenia użycia go jako wektora wejścia.
Kontekst / historia
Incydent został ujawniony po analizie serwera wystawionego publicznie do internetu, na którym znajdowały się narzędzia operatora ataku oraz lista przejętych urządzeń. Badacze przejęli dostęp do tego serwera 3 czerwca 2026 roku, gdy operacja nadal była aktywna. Zgromadzone materiały wskazywały, że część poleceń była wykonywana z hosta już osadzonego w infrastrukturze 3BB.
Charakter operacji sugeruje, że nie chodziło o jednorazowe naruszenie. Atakujący przygotował zestaw skryptów automatyzujących działania po uzyskaniu dostępu, procedury czyszczenia logów oraz mechanizmy persistence, przy jednoczesnym pozostawieniu działającego agenta MeshCentral. To wskazuje na długofalowe utrzymywanie obecności w środowisku i planowane rozszerzanie kontroli nad kolejnymi systemami.
Dodatkowym wątkiem była możliwa eksploracja infrastruktury powiązanej z Jasmine, z którą 3BB miała współdzielić część zasobów. Choć nie potwierdzono jednoznacznie naruszenia drugiej organizacji, artefakty sugerowały zainteresowanie tym obszarem.
Analiza techniczna
Najbardziej charakterystycznym elementem incydentu było użycie MeshCentral, czyli legalnego narzędzia do zdalnego zarządzania systemami. W tym przypadku zostało ono skonfigurowane w sposób typowy dla operacyjnego backdoora: agent komunikował się z serwerem kontrolowanym przez napastnika, a urządzenia były porządkowane w dedykowanej strukturze zarządzania. To klasyczny przykład podejścia living-off-the-land, w którym legalne komponenty zastępują tradycyjne złośliwe oprogramowanie.
Odzyskane listy urządzeń wskazywały, że część hostów pozostawała online i działała z uprawnieniami root. Taki poziom dostępu umożliwia pełną kontrolę nad systemem, w tym modyfikację usług, instalowanie dodatkowych implantów, zmianę konfiguracji uwierzytelniania, manipulowanie logami oraz obchodzenie lokalnych mechanizmów bezpieczeństwa.
Istotną rolę odgrywały również skrypty post-eksploatacyjne, które wspierały ruch boczny i utrzymanie dostępu. Ich funkcje obejmowały:
- rozpraszanie haseł przeciwko wielu hostom wewnętrznym przez SSH,
- przeszukiwanie systemów pod kątem haseł, kluczy SSH i danych logowania do baz danych,
- wdrażanie web shelli oraz ukrytych stron do zdalnego wykonywania poleceń,
- dodawanie kluczy SSH jako zapasowego kanału dostępu,
- usuwanie artefaktów aktywności przy zachowaniu głównych mechanizmów persistence.
Szczególnie istotny był komponent skierowany przeciwko bazom RADIUS. W środowiskach telekomunikacyjnych systemy te przechowują kluczowe dane uwierzytelniające wykorzystywane do dostępu do usług sieciowych. Dla atakującego są one celem o wysokiej wartości, ponieważ mogą umożliwiać przejęcie kont, nadużycia dostępu, wtórne ataki na klientów oraz dalszą eskalację w ekosystemie operatora.
W zestawie narzędzi znaleziono także exploit dla FortiGate SSL-VPN powiązany z CVE-2024-21762. Obecność tego komponentu oraz zgodność wersji firmware z podatnym zakresem wzmacniają hipotezę, że mógł to być jeden z możliwych wektorów wejścia, jednak dostępny materiał dowodowy nie potwierdził tego jednoznacznie.
Konsekwencje / ryzyko
Ryzyko wynikające z tego incydentu jest wysokie. Uzyskanie uprawnień root na hostach wewnętrznych daje napastnikowi niemal nieograniczone możliwości manipulowania systemami i ukrywania swojej obecności przez długi czas. Dodatkowo wykorzystanie legalnego narzędzia administracyjnego ogranicza skuteczność wielu tradycyjnych metod wykrywania opartych głównie na znanych wskaźnikach kompromitacji.
Celowanie w bazy RADIUS wskazuje na operację skoncentrowaną na poświadczeniach i tożsamości. Nawet bez potwierdzonej eksfiltracji danych samo przygotowanie skryptów do kopiowania takich baz należy traktować jako poważne zagrożenie dla abonentów i integralności usług operatora. Potencjalne skutki obejmują przejęcie kont, podszywanie się pod użytkowników, nadużycia w dostępie do usług oraz dalsze ataki na klientów lub partnerów.
Dodatkowym problemem są skrypty czyszczące logi i inne ślady aktywności. Tego typu działania utrudniają response, ograniczają możliwości analizy śledczej i zwiększają ryzyko, że część mechanizmów persistence pozostanie aktywna nawet po rozpoczęciu remediacji.
Rekomendacje
Incydent 3BB powinien być traktowany jako praktyczny przykład zagrożeń wynikających z nadużywania narzędzi zdalnej administracji. Organizacje powinny zweryfikować zarówno ekspozycję techniczną, jak i procesy nadzoru nad legalnym oprogramowaniem administracyjnym.
- przeprowadzić pełny przegląd wszystkich instalacji agentów zdalnego zarządzania, w tym MeshCentral i podobnych narzędzi RMM,
- zidentyfikować nieautoryzowane połączenia wychodzące do zewnętrznych serwerów zarządzających,
- sprawdzić hosty pod kątem nietypowych usług, nowych kluczy SSH, web shelli, plików SUID i ścieżek persistence,
- niezwłocznie załatać lub odłączyć podatne instancje FortiGate SSL-VPN narażone na CVE-2024-21762,
- przeprowadzić rotację poświadczeń, w tym haseł SSH, sekretów aplikacyjnych, danych bazodanowych, certyfikatów VPN i danych RADIUS,
- zabezpieczyć oraz zarchiwizować logi przed rozpoczęciem czyszczenia środowiska,
- wdrożyć detekcję behawioralną dla narzędzi administracyjnych uruchamianych poza standardowym change management,
- wzmocnić segmentację infrastruktury krytycznej i ograniczyć możliwości lateral movement.
Z perspektywy SOC warto rozszerzyć reguły detekcyjne o korelację między nietypowym użyciem SSH, pojawieniem się nowych agentów zarządzających, modyfikacją kluczy autoryzacyjnych oraz próbami usuwania logów. W środowiskach operatorskich najwyższy priorytet ochrony powinny mieć systemy AAA, RADIUS i repozytoria danych uwierzytelniających klientów.
Podsumowanie
Atak na 3BB pokazuje, że współczesne operacje intruzów coraz częściej opierają się nie na głośnym malware, lecz na cichym wykorzystaniu legalnych narzędzi administracyjnych. MeshCentral posłużył w tym przypadku jako trwały kanał zdalnej kontroli, a zestaw skryptów wskazuje na dojrzałą fazę post-eksploatacyjną obejmującą ruch boczny, kradzież poświadczeń i przygotowanie wielu mechanizmów powrotu do środowiska.
Choć nie potwierdzono ostatecznie eksfiltracji danych abonentów ani wykorzystania konkretnej luki jako punktu wejścia, skala przygotowań i poziom dostępu pokazują, że organizacje powinny traktować narzędzia zdalnego zarządzania, systemy VPN oraz bazy uwierzytelniające jako obszary najwyższego priorytetu obronnego.