THAILAND / LONDON (IT BOLTWISE) – Ein Angreifer soll sich im Netzwerk von 3BB, einem großen thailändischen Breitbandanbieter, mit Hilfe von MeshCentral dauerhaften Root-Zugriff verschafft haben. Das Vorgehen nutzte eine legitime Fernwartungslösung als versteckten Agent, der mit einem von dem Angreifer betriebenen Control-Server kommunizierte. Laut den vorliegenden Ermittlungen wurden gleichzeitig weitere Schritte zur Ausweitung der Rechte unternommen, darunter Kennwortsprays per SSH und das gezielte Durchsuchen nach gespeicherten Zugangsdaten. Offen bleibt, ob der Einstieg über eine FortiGate-SSL-VPN-Schwachstelle erfolgreich war oder nur Teil des Werkzeugkits.
In den frühen Junitagen 2026 soll ein Angreifer im Netzwerk von 3BB aktiv gewesen sein und interne Systeme aus der Ferne kontrolliert haben. Den technischen Kern des Vorfalls bildet dabei nicht eine “neue” Sicherheitslücke, sondern die missbräuchliche Nutzung einer etablierten Fernwartungssoftware: MeshCentral. Laut den Analyseergebnissen entdeckte das Team einen Server, den der Angreifer selbst mit geöffneten Diensten im Internet erreichbar ließ und auf dem sich eine komplette Toolchain sowie eine Liste bereits kompromittierter Maschinen befanden. Die Forschenden hielten diesen Zustand am 3. Juni 2026 fest, während die Operation noch lief.
Die entscheidende Abzweigung zur späteren Persistenz beschreibt das Material als kompromittierte Konfiguration: Eine von dem Angreifer installierte MeshCentral-Agent-Instanz sei als versteckte Backdoor eingerichtet worden. Demnach berichteten “agents” zu einem Control-Server, der unter www.ayuthayatech[.]com betrieben wurde, und die Zuordnung erfolgte in einem Device Group-Namen (TH-3BB), der als organisatorische Klammer für die eingeschleusten Clients diente. Besonders aufschlussreich ist, dass das Artefakt auf einem internen Server eine Wiedererlangung bzw. den Ausbau auf Administratorrechte bis hin zu root zeigte. Außerdem enthält die wiederhergestellte Geräteübersicht Hinweise auf aktive Sessions und Systeme, die zu diesem Zeitpunkt bereits mit Root-Privilegien verbunden waren.
Damit allein ist das Muster aber noch nicht vollständig: In den weiteren Skripten zeigte sich ein klassischer Mix aus lateraler Bewegung, Credential-Harvesting und Rückkanälen. Laut den vorliegenden Details wurden über SSH Passwörter gegen mehr als 55 interne Computer “gesprüht”, zusätzlich untersuchten die Angreifer eine interne Sales-Plattform unter agent.3bb.co[.]th. Auf bereits kompromittierten Rechnern soll die Suche auf gespeicherte Passwörter, Datenbank-Logins und SSH-Keys hinausgelaufen sein. Andere Skripte wiederum werden mit Webshells in Verbindung gebracht, also mit versteckten Webseiten/Endpoints, über die Befehle auf dem Zielsystem ausgeführt werden können, sowie mit dem Anlegen zusätzlicher SSH-Keys als redundante Einstiegspunkte.
Der Schwerpunkt der Ziele wirkt dabei eindeutig auf die Authentifizierungssysteme: Als Hauptziel wird die Subscriber-Datenbasis beschrieben, genauer gesagt die RADIUS-Datenbanken, in denen die Login-Credentials abgelegt sind, mit denen Breitbandkunden online gehen. Das Material deute zwar auf das gezielte Kopieren dieser RADIUS-Quellen hin, allerdings heißt es ausdrücklich, dass aus den Belegen eher die Zielauswahl als eine tatsächliche Datentransfer-Aktion hervorgeht. Neben 3BB selbst wird außerdem ein zweiter Bezugspunkt sichtbar: Das betroffene Server-Setup habe auf einem gültigen VPN-Zertifikat aus dem 3BB-Umfeld und auf aktiven Login-Sessions in einem Netzwerk namens Jasmine hingewiesen. Das legt nahe, dass der Angreifer parallel gegen zwei Umgebungen arbeitete, ohne jedoch sicherzustellen, dass Jasmine als Unternehmen tatsächlich kompromittiert wurde.
Beim anfänglichen Einstieg bleibt dagegen eine Lücke in der Kette. Das Werkzeugset, das auf dem exponierten Server lag, soll auf verschiedene Zielkomponenten ausgerichtet gewesen sein, unter anderem auf ein 3BB FortiGate SSL-VPN Gateway, das über mail.3bb.co[.]th erreichbar war. Im Paket fanden die Forschenden eine vollständige Exploit-Komponente für CVE-2024-21762, eine als “serious” bezeichnete Fortinet-Schwachstelle aus dem Jahr 2024, die es Angreifern ermöglichen kann, Code auf dem Gerät auszuführen, ohne sich anmelden zu müssen. Das entsprechende Gateway habe laut Beschreibung eine Firmware-Version genutzt, die von der Lücke betroffen ist; gleichzeitig liefert das wiederhergestellte Material jedoch keinen Beleg dafür, dass der Exploit tatsächlich erfolgreich ausgeführt wurde oder der Einstieg darüber erfolgte.
Für die Verteidigung ist genau diese Differenzierung wichtig: Wenn FortiGate-SSL-VPN-Appliances noch nicht sicher gepatcht oder verifiziert sind, sollte die Aufarbeitung mit dem Abgleich gegen CVE-2024-21762 beginnen. Laut dem zitierten Advisory von Fortinet wird im Notfall empfohlen, das SSL-VPN abzuschalten; außerdem wird betont, dass das bloße Abschalten des Web-Modus kein belastbarer Ersatz ist. Parallel dazu sollten Organisationen aktiv nach MeshCentral-Agents suchen, die nicht selbst installiert wurden, und nach Management-Verbindungen zu unbekannten Control-Servern. Zusätzlich empfiehlt sich eine konsequente Rotation der möglicherweise kompromittierten Geheimnisse: Dazu zählen SSH-Keys, Datenbank- und RADIUS-Passwörter, VPN-Zertifikate sowie Anwendungs-Secrets. Entscheidend ist auch der forensische Teil: Da das Angreifer-Skript explizit auf Log-Löschung ausgerichtet war, sollten Logs und Artefakte zuerst gesichert werden, bevor Cleanup-Prozesse laufen. Als Indikatoren werden unter anderem ein offenes Setup mit Port 8888 (offenes Verzeichnis) und Port 9443 (Exploit-Callback), die Domain www.ayuthayatech[.]com, der MeshCentral Group-Name TH-3BB sowie mögliche Persistenzpfade wie /usr/local/bin/.rc genannt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "3BB-Angreifer nutzte MeshCentral als Backdoor für Root-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "3BB-Angreifer nutzte MeshCentral als Backdoor für Root-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »3BB-Angreifer nutzte MeshCentral als Backdoor für Root-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!