การเข้าถึงระดับรูทของ MeshCentral มุ่งเป้าไปที่การเข้าสู่ระบบบรอดแบนด์ไทย: 3BB ระบุว่าเซิร์ฟเวอร์เป็นของลูกค้าองค์กร

อ่านภาษาไทย

ไดเรกทอรีแบบเปิด, แบ็คดอร์ MeshCentral และฐานข้อมูล RADIUS

On 14 September 2026, threat-intelligence firm Hunt.io published a technical report on an active intrusion tied to Thai broadband infrastructure. Researchers had captured an attacker-controlled server left open on the internet on 3 June 2026. Inside were about 298 files: exploit scripts, password-spray tools, a MeshCentral agent configuration, and a device inventory of machines already under the attacker's control. The Hacker News summarised the same findings the same day.

According to Hunt.io, MeshCentral — a legitimate remote-management tool that IT teams use every day — had been installed as a hidden backdoor. Agents reported to a server the attacker ran at www.ayuthayatech.com, under a device group named TH-3BB. Several enrolled machines were connected with root privileges when the inventory was exported. A cleanup script was written to wipe logs and delete other tools while deliberately leaving the MeshCentral agent in place.

The scripts also targeted RADIUS databases named radius_corp, radiusinfo and job_radius — the kind of systems that store the login credentials broadband customers use to get online. Hunt.io is clear on one point that matters for every compliance team: the evidence shows those databases were targeted , not that any subscriber data was confirmed stolen.

สิ่งที่ 3BB กล่าวในอีกสองวันต่อมา

On 16 September 2026, 3BB issued a public clarification, reported by Telecomlover and other Thai tech outlets. The company said its internal checks found no unauthorised access to 3BB customer data. It said the incident involved an attempted breach of an enterprise client's own system — systems the client manages, not systems operated by 3BB — that it had notified that client to inspect and harden its security, and that it had briefed the National Cyber Security Agency (NCSA / สกมช.) and relevant regulators.

ดังนั้น บันทึกสาธารณะในปัจจุบันจึงเป็นเช่นนี้: นักวิจัยได้อธิบายการเข้าถึงระดับรูทของ MeshCentral และเครื่องมือดัมพ์ RADIUS ภายในโครงสร้างพื้นฐานที่พวกเขาเชื่อมโยงกับแบรนด์และโดเมนภายในของ 3BB; 3BB ระบุว่าการโจมตีดังกล่าวเกิดขึ้นกับสภาพแวดล้อมที่ลูกค้าองค์กรจัดการเอง และกล่าวว่าไม่มีการเข้าถึงข้อมูลลูกค้าของ 3BB แต่อย่างใด ไม่ว่าจะด้วยวิธีใด บทเรียนสำหรับบริษัทไทยก็ยังคงเหมือนเดิม

สิ่งนี้หมายความว่าอย่างไรสำหรับบริษัทของคุณ

• Corporate-managed servers are the soft target. If 3BB's account is right, the attacker was after an enterprise client's own stack. Colo racks, on-prem RADIUS or AAA servers, VPN gateways, and "temporary" Linux boxes that never left the storeroom all look like that. They hold staff SSH keys, database passwords and customer logins long after the project that justified them is over.
• Legitimate admin tools become invisible backdoors. MeshCentral, remote-support agents and similar software blend into normal IT traffic. Once an agent is running as root, rotating a firewall password is not enough. You also have to find and remove the agent, and then decide what to do with the machine that hosted it.
• Credential databases outlive the business case. RADIUS, LDAP and local MySQL copies of user tables are exactly the kind of data PDPA expects you to erase when retention ends. A server that still holds them is a breach waiting for the next open directory.
• Entry method may stay unconfirmed; the cleanup cannot. Hunt.io recovered a full toolkit for FortiGate CVE-2024-21762 against a 3BB-branded SSL-VPN, but does not prove that exploit was the way in. Waiting for a perfect root-cause report is a bad reason to leave old disks and spare servers sitting in a cupboard.

การทำความสะอาดทางปฏิบัติหลังจากเหตุการณ์หวาดกลัวการบุกรุกใดๆ

1. ทำรายการตรวจสอบเซิร์ฟเวอร์ NAS และโคโลเคชั่นทั้งหมดที่บริษัทของคุณเป็นเจ้าของหรือจัดการจริงๆ ซึ่งรวมถึงเซิร์ฟเวอร์ที่โฮสต์อยู่ที่ ISP หรือดาต้าเซ็นเตอร์ภายใต้สิทธิ์ผู้ดูแลระบบของคุณเอง
2. ค้นหาเอเจนต์การจัดการระยะไกลที่ไม่คาดคิด, ไบนารี SUID ที่ซ่อนอยู่, เว็บเชลล์ และคีย์ SSH ที่คุณไม่ได้ติดตั้ง หมุนเวียนข้อมูลรับรอง RADIUS, ฐานข้อมูล, VPN และแอปพลิเคชันที่อาจถูกคัดลอกไป
3. When a machine is replaced or no longer trusted, do not wipe-and-store it "just in case". Book documented server data destruction with serial numbers logged and a certificate for each unit.
4. Send loose and spare disks for hard drive and SSD destruction , treat staff laptops that held VPN configs or exported credential files through laptop data destruction , and fold a full refresh into one IT asset disposal project with certificates filed against your PDPA records.

สำหรับงานเซิร์ฟเวอร์ที่เราไปรับจากสำนักงานของคุณในกรุงเทพฯ เราจะบันทึกหมายเลขซีเรียลในขั้นตอนการรับ รักษารักษาห่วงโซ่การพยานหลักฐาน (chain of custody) อย่างครบถ้วนจนถึงการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูล (Certificate of Data Destruction) สำหรับเซิร์ฟเวอร์แต่ละเครื่อง (ระบุหมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานรายการทรัพย์สิน มีหลักฐานเป็นภาพถ่ายและวิดีโอให้บริการ เราจัดการเฉพาะอุปกรณ์เท่านั้น ไม่ทำการย่อยทำลายกระดาษ

Get an instant quote or call 082-797-3702 to destroy the servers and drives that still hold RADIUS dumps, SSH keys and old customer logins, so the next MeshCentral-style backdoor has nothing useful left to find.

แหล่งที่มา: Hunt.io, "Thai Broadband Provider Targeted via FortiGate SSL-VPN and MeshCentral Persistence" (14 ก.ย. 2026); The Hacker News, "3BB Attacker Used MeshCentral Backdoor for Root Access, Targeted Subscriber Credentials" (14 ก.ย. 2026); Telecomlover, "3BB Confirms No Customer Data Accessed, Clarifies Incident Involved Enterprise Client System" (16 ก.ย. 2026); บทสรุปจาก Monster Connect เกี่ยวกับการชี้แจงของ AIS/3BB (ก.ย. 2026)