威脅情報公司 Hunt.io 近期揭露了一起針對泰國大型寬頻服務供應商 3BB 的網路入侵事件。攻擊者在 3BB 的內部網路中長期潛伏，並利用一套精心設計的工具集試圖竊取用戶憑證。此次事件最值得關注的技術細節在於，攻擊者並非僅依賴惡意軟體，而是利用了合法且開源的遠端管理工具 MeshCentral 來建立持久性的後門，使其活動能與正常的 IT 管理行為混淆，從而規避安全偵測。
事件的發現源於研究人員在網際網路上發現了一個被攻擊者遺忘且未設防的伺服器。該伺服器存放了攻擊者的工具箱以及一份受控主機清單。研究人員於 2026 年 6 月 3 日擷取了該伺服器內容，發現攻擊者已成功獲取內部伺服器的 root 權限，也就是系統最高管理權限，能夠對伺服器進行任何操作。
為了確保在系統重啟或安全掃描後仍能維持控制權，攻擊者安裝了 MeshCentral。這是一款 IT 團隊常用於遠端管理電腦的免費工具，但在此案例中，它被配置為隱藏後門。受控主機的代理程式會定期向攻擊者掌控的控制伺服器 ayuthayatech[.]com 回報，並將受害機器歸類在名為 TH-3BB 的設備組中。這種手法稱為 Living off the Land，即利用系統內建或合法安裝的工具來執行攻擊，因為這類工具的流量通常被防火牆與監控系統視為正常管理行為。
在獲取初步權限後，攻擊者採取了橫向移動策略，試圖在網路內部擴大影響範圍。根據恢復的腳本顯示，攻擊者對 55 台以上的內部電腦進行了 SSH 密碼噴灑攻擊，即嘗試使用大量常見密碼強制登入。同時，他們探測了 3BB 的內部銷售入口網站，並在受控機器中搜尋儲存的密碼、資料庫登入資訊以及 SSH 金鑰。此外，攻擊者還部署了 Web Shell，這是一種隱藏在網站伺服器上的惡意頁面，允許攻擊者透過瀏覽器直接對伺服器發送指令，並添加備用 SSH 金鑰以確保多路訪問路徑。
此次攻擊的核心目標指向 3BB 的訂戶資料。攻擊者編寫了專門用於複製 RADIUS 資料庫的腳本。RADIUS 是一種用於網路認證、授權與計費的協議，寬頻用戶登入網路時所需的憑證即儲存在此系統中。雖然證據顯示資料庫被鎖定為目標，但目前尚無法確認是否有大量數據被成功外流。值得注意的是，攻擊者的工具箱中還包含 3BB 所屬或相關之 Jasmine 網路的 VPN 憑證與登入會話，顯示攻擊者的目標可能涵蓋了整個基礎設施群組。
關於最初的入侵路徑，雖然尚未完全確定，但研究人員在伺服器中發現了針對 FortiGate SSL-VPN 閘道器的完整攻擊工具集，其中包括 CVE-2024-21762 的漏洞利用程式。這是一個嚴重的漏洞，允許攻擊者在無需登入的情況下在設備上執行任意代碼。當時 3BB 的閘道器版本確實受此漏洞影響，儘管無法證明這就是唯一的入侵入口，但這顯示了攻擊者具備針對邊緣設備漏洞進行精準打擊的能力。
這次事件對企業安全防禦具有重要的實務啟示。首先，單純的漏洞補丁（Patching）無法清除已經潛伏在系統中的後門。如果攻擊者已經安裝了 MeshCentral 代理程式或修改了 SSH 金鑰，即便更新了 VPN 韌體，攻擊者依然能輕易進入。因此，企業在修補漏洞後，必須進行全面的環境清理，檢查是否存在未經授權的遠端管理軟體、異常的 SUID 檔案（具有特權執行權限的文件）或不明的 Web Shell。
其次，針對憑證的管理需採取更嚴格的輪替機制。一旦發現系統被入侵，所有可能外流的 SSH 金鑰、資料庫密碼、RADIUS 憑證以及 VPN 憑證都必須立即失效並更換。最後，由於攻擊者會使用清理腳本刻意刪除日誌以掩蓋行蹤，安全團隊在進行修復前應優先保存原始日誌與記憶體快照，以免喪失追溯攻擊路徑的關鍵證據。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。