Um den Zugang dauerhaft zu sichern, installierte der Angreifer MeshCentral, ein kostenloses Werkzeug, das IT-Abteilungen üblicherweise zur Fernverwaltung von Rechnern einsetzen. Die wiederhergestellte Konfiguration zeigt, dass es als verdeckte Hintertür eingerichtet war: Die Agenten meldeten sich bei einem vom Angreifer betriebenen Steuerserver unter www.ayuthayatech[.]com, zusammengefasst in einer Gerätegruppe namens TH-3BB. Fernwartungssoftware dieser Art wird laut den Forschern zunehmend missbraucht, weil sie als vertrauenswürdig gilt und ihre Aktivität im normalen Administrationsbetrieb untergeht.
Eine vom Server geborgene Geräteliste nannte die in der MeshCentral-Installation des Angreifers eingetragenen Maschinen. Mehrere davon waren zum Zeitpunkt der Erstellung verbunden und liefen mit Root-Rechten – für Hunt.io ein Beleg dafür, dass der Angreifer zu diesem Zeitpunkt aktive administrative Kontrolle besaß.
Ein separates Aufräumskript war darauf ausgelegt, Protokolle zu löschen und die übrigen Werkzeuge des Angreifers zu entfernen, den MeshCentral-Agenten jedoch bewusst zurückzulassen, damit der Zugang erhalten bleibt.
Innerhalb des Netzes arbeitete der Angreifer daran, seinen Zugriff auszuweiten. Wiederhergestellte Skripte führten Passwort-Spraying gegen mehr als 55 interne Rechner per SSH durch, sondierten das interne Vertriebsportal von 3BB unter agent.3bb.co[.]th und durchsuchten kompromittierte Maschinen nach gespeicherten Passwörtern, Datenbank-Zugangsdaten und SSH-Schlüsseln. Weitere Skripte konnten Web-Shells – versteckte Seiten, die Befehle des Angreifers ausführen – ablegen und SSH-Schlüssel als Rückfallweg hinterlegen.
Derselbe Server verwies auf ein zweites Ziel: Er enthielt ein gültiges VPN-Zertifikat aus den Systemen von 3BB sowie aktive Anmeldesitzungen für Dienste im Netz von Jasmine, einem Unternehmen, zu dem 3BB einst gehörte und mit dem es weiterhin Infrastruktur teilt. Hunt.io sieht darin einen Hinweis darauf, dass der Angreifer gegen beide vorging, bestätigte einen Einbruch bei Jasmine selbst aber nicht.
Wie der Angreifer ursprünglich in das Netz von 3BB gelangte, ist nicht geklärt. Auf dem Server lag ein vollständiges Werkzeugpaket, das auf ein FortiGate-SSL-VPN-Gateway von 3BB unter mail.3bb.co[.]th zielte, einschließlich eines kompletten Exploits für CVE-2024-21762 – eine schwerwiegende Fortinet-Schwachstelle aus dem Jahr 2024, die Codeausführung auf dem Gerät ohne vorherige Anmeldung erlaubt. Das anvisierte Gateway lief mit einer betroffenen Firmware-Version.
Nichts von dem, was Hunt.io sicherte, belegt jedoch, dass der Exploit tatsächlich funktionierte oder dass der Angreifer auf diesem Weg eindrang. Das FortiGate-Werkzeug war zwar der am weitesten ausgearbeitete Teil des Arsenals, zeigt aber laut den Forschern lediglich Fähigkeit und Absicht des Angreifers, keinen bestätigten Einbruch über dieses Gerät.
Das offene Verzeichnis hat der Angreifer inzwischen geschlossen. Ob er weiterhin Zugang zu den Systemen von 3BB hat, ist unbekannt: Die Beweislage beschreibt den Stand des Eindringens Anfang Juni, nicht die aktuelle Situation. Die vollständige Liste der Indikatoren samt technischer Details hat Hunt.io in seinem Bericht veröffentlicht.