泰国3BB FortiGate CVE-2024-21762 RCE
Hunt.io 报告称，攻击者利用 Fortinet 和 F5 产品多个漏洞获取泰国宽带服务商 3BB（Triple T Broadband）系统访问权限。事件因攻击者在泰国基础设施的一个开放目录中留下入侵工具集而暴露；该目录包含 30 个子目录、298 个文件，涵盖多个利用脚本、暴力破解和提权工具、凭据收集脚本、受控机器清单，以及配置为持久后门的 MeshCentral agent。文件按 Exploit、Victim、Config、History 等操作类别标记，Hunt.io 认为这是活跃的暂存环境。工具据称专门针对 3BB 和此前拥有 Triple T Broadband 的 Jasmine 制作。初始访问通过针对 FortiGate SSL-VPN 端点的指纹识别实现：攻击者使用 8 个 shell 脚本确定设备固件版本、探测漏洞并部署利用。攻击者扫描了 CVE-2018-13379、CVE-2022-42475、CVE-2023-27997 和 CVE-2024-21762，确认实例固件版本后，部署针对 CVE-2024-21762 的利用以实现远程代码执行（RCE）。
同时，威胁者还侦察了受害者的 F5 BIG-IP 实例，探测 CVE-2021-22986、CVE-2022-1388 和 CVE-2023-46747，以及位于负载均衡器后的 3BB 内部销售代理门户。
获得初始访问后，攻击者使用 PwnKit、Dirty COW 漏洞和专门的 SUID 后门安装器，尝试在多台 Linux 系统上获取 root 权限。Hunt.io 称，主机被攻陷后，攻击者使用 MeshCentral 作为命令与控制（C&C）平台建立持久远程访问。随后，攻击者利用多种脚本进行主机发现、远程访问和凭据收集，在 3BB 内部环境横向移动。他们尝试提取 SSH 密钥、PHP 配置、数据库凭据、SNMP community strings 和 Radius 认证数据，并对内部数据库执行无密码 MySQL 认证。
此外，威胁者还使用两个脚本读取敏感文件、部署 PHP web shell、注入 SSH 密钥并修改数据库权限，从而提供多种持久化和横向移动机制。最后，攻击者执行脚本清理漏洞利用和部署后门相关痕迹，以及 PHP web shell、MeshCentral 部署脚本和系统日志。该脚本结束时还会验证持久化机制仍可运行，包括检查隐藏 SUID 二进制文件、确认 MeshCentral 服务仍在运行。Hunt.io 认为，清理过程旨在隐藏入侵，同时确保对受控系统的持续远程访问。
Re: 泰国3BB FortiGate CVE-2024-21762 RCE
这个案例信息量挺大，感谢分享。攻击链比较完整：先从 FortiGate SSL-VPN 端点做指纹识别，用 8 个 shell 脚本确认固件版本后，主要利用 CVE-2024-21762 拿到 RCE；同时也没放过 F5 BIG-IP，侦察了 CVE-2021-22986、CVE-2022-1388 和 CVE-2023-46747。进入内网后又用 PwnKit、Dirty COW 和 SUID 后门安装器提权，再通过 MeshCentral 建立持久化 C&C，接着收集 SSH 密钥、PHP 配置、数据库凭据、SNMP community strings 和 Radius 认证数据，甚至尝试无密码 MySQL 认证。 比较值得关注的是，攻击者不仅横向移动，还部署 PHP web shell、注入 SSH 密钥、修改数据库权限，最后清理漏洞利用和后门相关痕迹，并检查隐藏 SUID 二进制文件和 MeshCentral 服务是否仍可运行。工具集留在开放目录里被 Hunt.io 发现，说明这个暂存环境的管理相当粗心，但也侧面反映出攻击者已经做了较长时间的准备和运营。 从防守角度看，这类事件提醒要重点排查 FortiGate 和 F5 的补丁版本、SSL-VPN 日志、MeshCentral 异常服务、隐藏 SUID 文件、PHP web shell、SSH authorized_keyRe: 泰国3BB FortiGate CVE-2024-21762 RCE
感谢分享，这个案例信息量很大。从首帖看，攻击链基本覆盖了从边界设备入手到长期驻留的全过程：先用多个脚本对 FortiGate SSL-VPN 做指纹识别和多漏洞探测，确认 CVE-2024-21762 后就地打 RCE；随后又侦察 F5 BIG-IP 和内部销售代理门户。拿到初始访问后，PwnKit、Dirty COW、SUID 后门安装器轮番上，再靠 MeshCentral 做 C&C 和持久化，接着主机发现、横向移动、抓 SSH、PHP、数据库、SNMP、Radius 凭据，还尝试了无密码 MySQL。 更值得警惕的是最后清理痕迹后还验证持久化仍有效，说明不是打完就走。对运营商这种暴露面大的环境，FortiGate、F5 固件和已知漏洞排查，MeshCentral 异常服务、隐藏 SUID、被清日志这些点都值得重点看。开放目录能暴露整套工具集，也说明攻击者运营比较有组织。希望能有后续处置和影响范围的更新。Re: 泰国3BB FortiGate CVE-2024-21762 RCE
感谢分享，这个案例信息量很大。几个点我觉得挺关键：一是入口还是边缘设备，攻击者先对 FortiGate SSL-VPN 做指纹识别，按固件版本探测多个漏洞，确认后用 CVE-2024-21762 拿 RCE；同时还侦察了 F5 BIG-IP 和后面的内部销售代理门户，说明攻击面不止一台设备。二是拿下主机后的动作比较完整，PwnKit、Dirty COW、SUID 后门、MeshCentral 都被用上，接着做凭据收集和横向移动，目标包括 SSH 密钥、PHP 配置、数据库凭据、SNMP community strings、Radius 认证数据，甚至尝试无密码 MySQL。三是清理痕迹后还验证持久化，这种最难缠，说明不是打完就走。 如果相关环境有暴露的 FortiGate 或 F5，建议优先核对固件版本和异常日志，重点排查 MeshCentral 服务、隐藏 SUID 文件、PHP web shell、异常 SSH 公钥、数据库权限改动，以及 SNMP 和 Radius 凭据是否泄露。开放目录能把工具集暴露出来，也说明攻击者自己的暂存环境没隔离好。
页:
[1]