泰国3BB FortiGate CVE-2024-21762 RCE

资讯专家

Hunt.io 报告称，攻击者利用 Fortinet 和 F5 产品多个漏洞获取泰国宽带服务商 3BB（Triple T Broadband）系统访问权限。事件因攻击者在泰国基础设施的一个开放目录中留下入侵工具集而暴露；该目录包含 30 个子目录、298 个文件，涵盖多个利用脚本、暴力破解和提权工具、凭据收集脚本、受控机器清单，以及配置为持久后门的 MeshCentral agent。文件按 Exploit、Victim、Config、History 等操作类别标记，Hunt.io 认为这是活跃的暂存环境。

工具据称专门针对 3BB 和此前拥有 Triple T Broadband 的 Jasmine 制作。初始访问通过针对 FortiGate SSL-VPN 端点的指纹识别实现：攻击者使用 8 个 shell 脚本确定设备固件版本、探测漏洞并部署利用。攻击者扫描了 CVE-2018-13379、CVE-2022-42475、CVE-2023-27997 和 CVE-2024-21762，确认实例固件版本后，部署针对 CVE-2024-21762 的利用以实现远程代码执行（RCE）。

同时，威胁者还侦察了受害者的 F5 BIG-IP 实例，探测 CVE-2021-22986、CVE-2022-1388 和 CVE-2023-46747，以及位于负载均衡器后的 3BB 内部销售代理门户。

获得初始访问后，攻击者使用 PwnKit、Dirty COW 漏洞和专门的 SUID 后门安装器，尝试在多台 Linux 系统上获取 root 权限。Hunt.io 称，主机被攻陷后，攻击者使用 MeshCentral 作为命令与控制（C&C）平台建立持久远程访问。随后，攻击者利用多种脚本进行主机发现、远程访问和凭据收集，在 3BB 内部环境横向移动。他们尝试提取 SSH 密钥、PHP 配置、数据库凭据、SNMP community strings 和 Radius 认证数据，并对内部数据库执行无密码 MySQL 认证。

此外，威胁者还使用两个脚本读取敏感文件、部署 PHP web shell、注入 SSH 密钥并修改数据库权限，从而提供多种持久化和横向移动机制。最后，攻击者执行脚本清理漏洞利用和部署后门相关痕迹，以及 PHP web shell、MeshCentral 部署脚本和系统日志。该脚本结束时还会验证持久化机制仍可运行，包括检查隐藏 SUID 二进制文件、确认 MeshCentral 服务仍在运行。Hunt.io 认为，清理过程旨在隐藏入侵，同时确保对受控系统的持续远程访问。