Investigadores han descubierto un servidor de preparación controlado por atacantes que contiene pruebas de una intrusión masiva contra 3BB, la marca de consumo de Triple T Broadband en Tailandia. La operación se originó mediante la explotación de una vulnerabilidad crítica en SSL-VPN de FortiGate, lo que permitió a los atacantes escalar privilegios, robar credenciales, realizar reconocimiento interno, moverse lateralmente y establecer un acceso remoto persistente.

Unos investigadores han descubierto un servidor de preparación expuesto y controlado por un atacante que contiene pruebas de una intrusión a gran escala dirigida a 3BB, la marca de consumo operada por Triple T Broadband de Tailandia.

La investigación vincula la operación a la explotación de una vulnerabilidad crítica de SSL-VPN, seguida de una escalada de privilegios, robo de credenciales, reconocimiento interno, movimiento lateral y acceso remoto persistente.

Vulnerabilidad de FortiGate SSL-VPN

Hunt.io registró por primera vez el directorio abierto en 92.63.180[.]133:8888 el 3 de junio de 2026. Alojado en la infraestructura de Bangmod Enterprise, el servidor contenía 298 archivos en 30 subdirectorios, sumando un total de 19 MB.

La colección proporcionó una visión inusualmente detallada de la operación del atacante. Incluía scripts de explotación de FortiGate, herramientas de escalada de privilegios en Linux, utilidades de fuerza bruta SSH, recolectores de credenciales de bases de datos, archivos de configuración de VPN, cookies de sesión capturadas, scripts de limpieza y una configuración de agente de MeshCentral en vivo.

Múltiples artefactos hacían referencia directa a la infraestructura de 3BB, incluyendo direcciones internas 10.11.x.x, sistemas bajo el dominio triplet.co.th y credenciales específicas de la organización.

Una configuración de red capturada situó una máquina comprometida en 10.11.152[.]63, lo que indica que al menos algunas herramientas se ejecutaron desde dentro de la red del proveedor de banda ancha y no únicamente desde el servidor de preparación externo.

El objetivo inicial aparente fue un dispositivo FortiGate 60F SSL-VPN expuesto a través de mail.3bb.co[.]th:10443. Ocho scripts de reconocimiento identificaron el servicio VPN, examinaron los encabezados HTTP y los recursos de FortiGate, y probaron varias vulnerabilidades históricas antes de que el actor se centrara en la CVE-2024-21762.

La CVE-2024-21762 es una vulnerabilidad crítica de escritura fuera de límites en el componente SSL-VPN de FortiOS y FortiProxy. Puede permitir que un atacante remoto no autenticado ejecute código o comandos arbitrarios enviando solicitudes HTTP especialmente diseñadas y tiene una puntuación CVSS de 9.8 en el NVD.

La CISA añadió este fallo a su catálogo de Vulnerabilidades Explotadas Conocidas en febrero de 2024 tras confirmar su explotación activa.

Según los scripts recuperados, el atacante utilizó primero bloqueos controlados y solicitudes HTTP fragmentadas malformadas para determinar si el dispositivo era vulnerable.

Se informa que el exploit final combinó el "heap spraying" con una cadena de programación orientada al retorno (ROP) para lanzar una shell inversa conectada a 92.63.180[.]133:9443, el mismo servidor que alojaba el kit de herramientas expuesto.

El actor también intentó obtener el firmware FortiOS 7.2.5 para el FortiGate 60F, aparentemente para identificar "gadgets" ROP específicos del modelo y la versión. Un script incluyó el número de serie del dispositivo en una solicitud destinada a suplantar el dispositivo al contactar con la infraestructura de distribución de Fortinet.

Tras establecer el acceso, el atacante desplegó MeshCentral como una puerta trasera de gestión remota persistente. MeshCentral es una plataforma legítima de código abierto que proporciona capacidades de escritorio remoto, terminal y gestión de archivos a través de agentes instalados en los endpoints.

La configuración de meshagent.msh recuperada asignó las máquinas infectadas a un grupo de dispositivos llamado TH-3BB y dirigió los agentes a www.ayuthayatech[.]com a través del puerto 443.

Una exportación de devices.json enumeraba múltiples sistemas registrados como conectados, con varios agentes ejecutándose como root, lo que indica un control administrativo activo en el momento de la exportación.

Los scripts de persistencia automatizaron la instalación de MeshCentral, verificaron la conectividad de salida y buscaron productos de seguridad de endpoint antes del despliegue.

Significativamente, el script cleanup_target.sh del atacante eliminó archivos de explotación, shells web, registros de autenticación, registros del sistema e historiales de shell, mientras preservaba intencionalmente el servicio de MeshCentral.

La operación se extendió más allá del dispositivo FortiGate. Once scripts de reconocimiento se dirigieron a agent.3bb.co[.]th, un portal de ventas basado en CodeIgniter ubicado detrás de un dispositivo F5 BIG-IP, probando la autenticación, la falsificación de sesiones, la carga de archivos, la inyección SQL, el salto de directorios (path traversal), la falsificación de solicitudes del lado del servidor (SSRF) y el contrabando de solicitudes HTTP.

El atacante preparó varias opciones de escalada de privilegios para servidores Linux comprometidos, incluyendo exploits de Dirty COW y PwnKit, junto con código para instalar una puerta trasera SUID oculta.

Otra herramienta se dirigió a un servidor Pentaho interno utilizando la vulnerabilidad Ghostcat, mientras que un archivo de salida capturado documentaba la ejecución de comandos a nivel de root en un servidor de aplicaciones Linux.

Los scripts de recolección de credenciales buscaron en los sistemas claves privadas SSH, archivos de configuración PHP, contraseñas de bases de datos, cadenas de comunidad SNMP e historiales de comandos.

Otros scripts se dirigieron a las bases de datos radius_corp, radiusinfo y job_radius, exponiendo potencialmente registros de autenticación de suscriptores e información del servidor de acceso a la red.

Más de 55 direcciones internas fueron incluidas en scripts de "password-spraying" de SSH que contenían tanto contraseñas comunes como combinaciones específicas de la organización.

La presencia de credenciales relacionadas con 3BB sugiere un conocimiento previo del entorno, aunque las pruebas disponibles no establecen cómo el atacante obtuvo esa información.

Los investigadores también encontraron jasmine.ovpn, un perfil de OpenVPN que contenía un certificado y una clave privada emitidos bajo la infraestructura de clave pública de Triple T Broadband.

Si la credencial seguía siendo válida, podría proporcionar acceso a la infraestructura asociada con la red Jasmine, lo que resalta la importancia de revocar los certificados expuestos en lugar de confiar solo en el restablecimiento de contraseñas.

Fortinet identifica que las versiones de FortiOS 7.2.0 a 7.2.6, 7.0.0 a 7.0.13, 6.4.0 a 6.4.14 y varias otras versiones son vulnerables. Debes actualizar a una versión corregida y soportada; donde el parcheo inmediato sea imposible, Fortinet recomienda desactivar SSL-VPN por completo, ya que desactivar solo el modo web no es una solución válida.

Las organizaciones potencialmente afectadas deben investigar agentes de MeshCentral inesperados, conexiones a www.ayuthayatech[.]com, tráfico de shell inversa que involucre a 92.63.180[.]133, archivos SUID ocultos, shells web, archivos de autorización SSH modificados y lagunas inexplicables en los registros de seguridad.

Debes rotar los certificados de VPN, los secretos de RADIUS, las credenciales de bases de datos, las claves SSH, los secretos de aplicaciones y las contraseñas privilegiadas, mientras preservas la evidencia forense antes de la remediación, ya que el kit de herramientas recuperado muestra una actividad antiforense deliberada.