Attaccanti svelano toolkit completo: breach 3BB tramite…

Triple T Broadband, tra i principali ISP thailandesi, è stato compromesso tramite CVE-2024-21762. Gli attaccanti hanno esposto l'intero arsenale in una directory

Il 3 giugno 2026 i ricercatori di Hunt.io hanno scoperto una directory aperta su un server di staging appartenente a threat actor che, secondo la fonte citata, avevano compromesso Triple T Broadband (3BB), uno dei principali provider di banda larga fissa in Thailandia. L'esposizione accidentale ha rivelato 298 file in 30 subdirectory per un totale di 19 megabyte: un intero toolkit operativo che documenta ogni fase della kill-chain, dall'accesso iniziale alla persistenza.

L'incidente conferma che le appliance VPN edge rimangono un vettore critico per gli operatori di telecomunicazioni. La fonte non ha riportato dichiarazioni ufficiali da parte di 3BB o di ThaiBev, la società di proprietà, né è emersa disclosure regulatoria sul breach.

Punti chiave

L'accesso iniziale è avvenuto tramite CVE-2024-21762, vulnerabilità out-of-bounds write nel componente SSL-VPN di FortiOS/FortiProxy con CVSS 9.8 secondo il NVD, su un appliance FortiGate 60F con endpoint mail.3bb.co[.]th:10443.
Otto script automatizzati hanno eseguito fingerprinting dell'appliance, probing di multiple vulnerabilità Fortinet storiche e exploit finale con heap spraying e ROP chain per una reverse shell Node.js verso 92.63.180[.]133:9443.
MeshCentral è stato deployato come backdoor persistente con device group 'TH-3BB' e comando-e-controllo su www.ayuthayatech[.]com, mentre uno script di cleanup rimuoveva artefatti preservando accessi nascosti.
Il toolkit esposto conteneva 298 file organizzati per categoria operativa (Exploit, Victim, Config, History), oltre a un certificato VPN firmato Triple T Broadband (jasmine.ovpn) e a riferimenti a 55+ indirizzi interni dell'ISP.

La catena d'ingresso: da CVE-2024-21762 al controllo dell'appliance

L'attacco ha preso di mira un appliance FortiGate 60F esposto su mail.3bb.co[.]th:10443, secondo la fonte citata. La vulnerabilità CVE-2024-21762, un out-of-bounds write nel componente SSL-VPN di FortiOS e FortiProxy, porta un punteggio CVSS 9.8 nel NVD con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Non è una zero-day: è inclusa nel catalogo KEV dal febbraio 2024.

Gli attaccanti hanno utilizzato otto script denominati forti1.sh attraverso forti8.sh per una sequenza strutturata: fingerprinting dell'appliance, probing di vulnerabilità storiche (CVE-2018-13379 con CVSS 9.1, CVE-2022-42475 con CVSS 9.8, CVE-2023-27997 con CVSS 9.8) e infine l'exploit specifico per CVE-2024-21762. L'exploit ha impiegato heap spraying e una ROP chain per ottenere l'esecuzione di codice remoto, generando una reverse shell Node.js verso l'indirizzo 92.63.180[.]133 sulla porta 9443.

Un dettaglio operativo rilevante: gli script contenevano il serial number FGT60FTK2209FY0V dell'appliance target, utilizzato per impersonare il dispositivo in un tentativo di download del firmware FortiOS 7.2.5 specifico. La fonte non specifica se il firmware sia stato effettivamente scaricato o se la richiesta sia stata completata.

MeshCentral come RMM abusato: persistenza e comando-e-controllo

Dopo il compromise iniziale, gli attaccanti hanno stabilizzato l'accesso deployando MeshCentral, una piattaforma legittima di remote monitoring and management, come backdoor per la persistenza. Secondo la fonte citata, il file di configurazione meshagent.msh mostra un device group denominato 'TH-3BB' e un server C2 su www.ayuthayatech[.]com. Il file devices.json elenca sistemi attivi con privilegi root-level, indicando che la piattaforma gestiva accessi amministrativi completi.

L'uso di strumenti RMM legittimi è una TTP consolidata: riduce il rischio di rilevamento da parte di strumenti di sicurezza endpoint che spesso escludono da profilaggi i processi associati a software di amministrazione remota. La scelta di MeshCentral, open-source e auto-hostabile, ha permesso agli attaccanti di mantenere il controllo senza dipendere da infrastrutture commerciali tracciabili.

"After successful host compromise, the actor established persistent remote access using MeshCentral as a command-and-control (C&C) platform for remote administration"

L'errore operativo: 298 file in directory aperta rivelano l'arsenale completo

Il 3 giugno 2026 i ricercatori di Hunt.io hanno catturato il contenuto di una directory aperta sul server 92.63.180[.]133:8888. La raccolta comprendeva 298 file distribuiti in 30 subdirectory per una dimensione totale di 19 megabyte. Secondo la fonte citata, i file erano organizzati per categorie operative: Exploit, Victim, Config e History.

Tra i materiali esposti figuravano script di privilege escalation che sfruttavano PwnKit e Dirty COW, un backdoor SUID nascosto installato in /usr/local/bin/.rc, strumenti di credential harvesting per SSH keys, configurazioni PHP, credenziali database, SNMP community strings e dati RADIUS. La presenza di riferimenti al range IP interno 10.11.x.x e di 55+ indirizzi in script di SSH password-spraying indicava una ricognizione estesa all'interno della rete 3BB.

Particolarmente significativo il file jasmine.ovpn, contenente un certificato e una chiave privata PKI rilasciati a nome di Triple T Broadband. Il dossier non specifica se il certificato sia stato revocato o se fornisca ancora accesso valido alla rete VPN dell'ISP. Non è chiaro inoltre il ruolo di "Jasmine" nell'infrastruttura attuale: il nome potrebbe riferirsi a un utente storico, a un sistema legacy o a un account di servizio.

Anti-forensic selettivo: cancellare le tracce, conservare l'accesso

Il toolkit includeva uno script denominato cleanup_target.sh progettato per operazioni di anti-forensic selettive. Secondo la fonte citata, lo script rimuoveva log di sistema, web shell e altri artefatti di compromissione, ma concludeva verificando esplicitamente che i meccanismi di persistenza rimanessero operativi: controllava la presenza del binario SUID nascosto in /usr/local/bin/.rc e confermava che il servizio MeshCentral fosse ancora in esecuzione.

"The script concludes by verifying that persistence mechanisms remain operational, including checking the hidden SUID binary and confirming the MeshCentral service is still running"

Questo pattern rivela un'operazione strutturata con divisione dei comparti: la fase di cleanup è strumentale alla sopravvivenza dell'accesso, non alla sua eliminazione. La sofisticazione suggerisce operatori familiarizzati con le pratiche di incident response e con le aree di attenzione dei difensori forensi.

Reconnaissance oltre Fortinet: F5 BIG-IP nel mirino

Oltre all'infrastruttura Fortinet, il toolkit conteneva undici script diretti verso portal agent.3bb.co[.]th per il probing di vulnerabilità in appliance F5 BIG-IP: CVE-2021-22986, CVE-2022-1388 e CVE-2023-46747. Questa estensione della superficie di attacco indica che gli operatori non si sono limitati al vettore iniziale, ma hanno mappato attivamente le tecnologie VPN e di accesso remoto presenti nel perimetro dell'ISP.

La fonte non specifica se questi sistemi F5 siano stati effettivamente compromessi o se il probing abbia riportato esito positivo. Il dato rimane un indicatore di intento e di conoscenza pregressa dell'architettura target.

Cosa fare adesso

Verificare che le appliance FortiGate esposte su SSL-VPN eseguano versioni di FortiOS che correggono CVE-2024-21762, considerata la presenza di exploit funzionali in-the-wild con ROP chain specifiche per modello.
Ispezire la rete alla ricerca di connessioni verso i domini e gli IP indicati nella evidence map: 92.63.180[.]133 (staging e C2), www.ayuthayatech[.]com (MeshCentral C2).
Rivedere i processi MeshCentral attivi nell'infrastruttura: il group name 'TH-3BB' è un indicatore specifico, ma qualsiasi istanza non autorizzata di RMM merità indagine.
Controllare la presenza di binari SUID in percorsi non standard, in particolare /usr/local/bin/.rc, e validare l'integrità dei meccanismi di persistenza via launchctl o systemd.

Un campione involontario di TTP: perché l'esposizione cambia il gioco per i difensori

La scoperta di Hunt.io rappresenta un'eccezione nella threat intelligence contemporanea. Gli operatori sofisticati raramente espongono l'intero toolkit operativo: la visibilità completa su exploit, configurazioni, credenziali e logiche di cleanup consente ai difensori di ricostruire la kill-chain senza inferenze, verificando ogni fase con indicatori concreti.

Per il settore delle telecomunicazioni, l'incidente conferma che le appliance VPN edge rimangono un punto di fragilità strutturale: anche operatori con milioni di utenti possono ospitare appliance non adeguatamente patchate esposte a Internet. Per i difensori, la raccolta di 298 file offre un benchmark raro per il confronto con altre intrusioni e per il raffinamento dei controlli su RMM abusati e tecniche anti-forensic selettive.

Resta aperto il nodo della postura di disclosure: senza conferma ufficiale da parte di 3BB o delle autorità thailandesi, l'impatto effettivo sui milioni di utenti del provider non è quantificabile sulla base del dossier disponibile.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter