3BB 공격자, MeshCentral 백도어로 루트 권한 확보 및 가입자 자격 증명 탈취 시도

한 줄 요약

태국 최대 초고속 인터넷 서비스 제공업체 중 하나인 3BB의 내부 네트워크에 공격자가 침투해, MeshCentral이라는 합법적인 원격 관리 도구를 백도어로 악용해 내부 서버에 최고 관리자(루트) 권한을 유지했습니다. 공격자는 내부 컴퓨터 55대 이상에 무차별 비밀번호 공격을 가했고, 광대역 가입자의 로그인 정보가 담긴 RADIUS 데이터베이스를 탈취 대상으로 삼았습니다. 또한 Fortinet FortiGate SSL-VPN의 심각한 취약점인 CVE-2024-21762(로그인 없이도 장치를 원격으로 장악할 수 있는 결함)를 공략할 수 있는 완성된 익스플로잇 도구를 보유하고 있었으나, 이것이 실제 초기 침투에 사용됐는지는 확인되지 않았습니다. 위협 인텔리전스 기업 Hunt.io가 공격자의 서버가 인터넷에 노출된 것을 발견해 침해 사실을 확인하고, 관련 기업과 국가 보안 대응팀에 통보했습니다.

사건

태국 ISP 3BB의 내부 네트워크에 공격자가 침투해 MeshCentral을 은닉 백도어로 설치하고 내부 서버에 루트 권한을 획득했습니다. 가입자 자격 증명이 저장된 RADIUS 데이터베이스가 주요 탈취 대상이었으며, 3BB와 인프라를 공유하는 Jasmine 네트워크도 표적에 포함된 것으로 보입니다.

영향

55개 이상의 내부 서버에 SSH 비밀번호 공격이 이루어졌고, RADIUS 데이터베이스(가입자 로그인 자격 증명)가 복사 대상으로 지정됐습니다. 실제 데이터 유출 여부는 확인되지 않았으나, VPN 인증서와 내부 포털 세션도 공격자 서버에서 발견됐습니다.

원인

초기 침투 경로는 미확인이나, 공격자는 CVE-2024-21762(FortiGate SSL-VPN 인증 없이 원격 코드 실행 가능 취약점) 익스플로잇 도구를 완비하고 있었습니다. 합법적인 원격 관리 도구인 MeshCentral을 백도어로 활용해 탐지를 회피했습니다.

대응

Hunt.io가 인터넷에 노출된 공격자 서버를 발견해 3BB, Jasmine 및 국가 사이버 대응팀에 사전 통보 후 연구 결과를 공개했습니다. 보안 담당자에게는 FortiGate 패치 적용, 무단 MeshCentral 에이전트 탐지, 자격 증명 전면 교체, 로그 보존, 웹 셸 및 백도어 탐색을 권고했습니다.

실무 포인트

RMM(원격 관리) 소프트웨어는 정상 관리 트래픽으로 위장되기 때문에 공격자가 즐겨 악용합니다. FortiGate SSL-VPN 운영 조직은 CVE-2024-21762 패치 적용을 즉시 확인해야 하며, 패치 후에도 이미 설치된 백도어 에이전트나 유출된 자격 증명은 별도로 처리해야 합니다.

본문

Swati Khandelwal · 2026년 9월 14일 · 네트워크 보안 / 사이버 공격

태국 최대 초고속 인터넷 서비스 제공업체 중 하나인 3BB의 네트워크에 공격자가 침투해 MeshCentral이라는 합법적인 관리 도구를 이용해 내부 기기를 원격으로 제어하고 있었다고 위협 인텔리전스 기업 Hunt.io가 밝혔습니다.

Hunt.io는 공격자가 인터넷에 열어둔 서버를 조사해 이 침입을 발견했습니다. 해당 서버에는 공격자의 도구와 이미 장악된 기기 목록이 저장돼 있었습니다.

연구진은 2026년 6월 3일, 작전이 진행 중인 상태에서 노출된 서버를 확보했습니다. 서버의 도구들은 3BB 내부 네트워크 컴퓨터에서 실행된 것으로, 복구된 파일 하나에는 공격자가 내부 서버에 대한 완전한 관리자 권한(루트)을 획득한 과정이 기록돼 있었습니다.

공격자는 이 접근을 유지하기 위해 MeshCentral을 설치했습니다. MeshCentral은 IT팀이 컴퓨터를 원격으로 관리하는 데 주로 사용하는 무료 도구입니다. 복구된 설정 파일에 따르면, 이 도구는 숨겨진 백도어로 구성됐으며 에이전트는 공격자가 운영하는 제어 서버 www.ayuthayatech[.]com에 TH-3BB라는 기기 그룹명으로 보고하도록 설정돼 있었습니다.

이러한 원격 관리 소프트웨어는 신뢰할 수 있는 도구로 인식되고 정상적인 관리 활동과 구별하기 어렵기 때문에 공격자들이 점점 더 많이 악용하고 있습니다.

서버에서 복구된 기기 목록에는 공격자의 MeshCentral 설정에 등록된 기기들이 나열돼 있었습니다. 목록이 작성된 시점에 여러 기기가 루트 권한으로 연결·실행 중이었으며, 연구진은 이를 근거로 공격자가 당시 실제 관리자 권한을 보유하고 있었다고 판단했습니다.

별도의 정리 스크립트는 로그를 삭제하고 공격자의 다른 도구들을 지우도록 작성됐지만, 접근이 계속 유지될 수 있도록 MeshCentral 에이전트는 의도적으로 남겨뒀습니다.

공격자는 네트워크 내부에서 접근 범위를 넓히려 했습니다. 복구된 스크립트는 SSH를 통해 내부 컴퓨터 55대 이상에 비밀번호 공격을 퍼부었고, 3BB의 내부 영업 포털 agent.3bb.co[.]th를 탐색했으며, 침해된 기기에서 저장된 비밀번호·데이터베이스 로그인 정보·SSH 키를 검색했습니다. 다른 스크립트는 웹 셸(공격자 명령을 실행하는 숨겨진 페이지)을 심고 SSH 키를 추가해 재접근 경로를 확보할 수 있었습니다.

Hunt.io에 따르면 공격자의 주된 목표는 3BB의 가입자 데이터였습니다. 서버에 저장된 스크립트는 RADIUS 데이터베이스, 즉 광대역 고객이 인터넷에 접속할 때 사용하는 로그인 자격 증명을 저장하는 시스템을 복사해 빼내도록 설계됐습니다. 증거는 해당 데이터베이스가 표적이 됐다는 사실을 보여줄 뿐, 실제로 데이터가 유출됐는지는 확인되지 않았습니다.

같은 서버는 두 번째 표적도 가리켰습니다. 서버에는 3BB 내부 시스템에서 발급된 유효한 VPN 인증서와 Jasmine 네트워크 서비스의 활성 로그인 세션이 저장돼 있었습니다. Jasmine은 3BB가 한때 계열사였던 기업으로, 현재도 인프라를 공유하고 있습니다. Hunt.io는 이를 근거로 공격자가 두 조직을 동시에 공략하고 있었을 가능성을 제기했지만, Jasmine 자체가 침해됐는지는 확인하지 못했습니다.

공격자가 3BB에 처음 어떻게 침투했는지는 밝혀지지 않았습니다. 서버에는 3BB의 FortiGate SSL-VPN 게이트웨이(mail.3bb.co[.]th)를 겨냥한 완전한 도구 세트가 있었으며, 여기에는 로그인 없이 장치에서 코드를 실행할 수 있는 심각한 2024년 Fortinet 취약점 CVE-2024-21762에 대한 완전한 익스플로잇 코드가 포함됐습니다. 표적 게이트웨이는 해당 취약점에 영향을 받는 펌웨어 버전을 실행하고 있었습니다.

그러나 Hunt.io가 복구한 자료 중에는 실제로 익스플로잇이 성공했거나 이것이 초기 침투 경로였다는 증거가 없습니다. FortiGate 공략 도구는 도구 세트에서 가장 완성도가 높은 부분이었지만, 이는 공격자의 역량과 의도를 보여줄 뿐 해당 장치를 통한 실제 침입을 의미하지는 않습니다.

공격자는 이후 노출됐던 디렉터리를 닫았습니다. 현재 3BB 내부에 대한 접근이 유지되고 있는지는 알 수 없습니다. 확보된 증거는 6월 초 시점의 침입 상황을 기술할 뿐, 현재 상태를 나타내지는 않습니다.

연구진은 발표 전에 피해 기업과 관련 국가 대응팀에 연구 결과를 통보했다고 밝혔습니다.

보안 담당자가 해야 할 일

복구된 도구 세트는 유사한 엣지 장치와 인증 시스템을 운영하는 조직이 취해야 할 명확한 조치를 제시합니다:

FortiGate SSL-VPN 장치에 CVE-2024-21762 패치가 적용됐는지 확인하거나 즉시 패치하십시오. Fortinet의 권고문에 따르면 즉시 패치할 수 없는 경우 SSL-VPN을 비활성화해야 하며, 웹 모드만 비활성화하는 것은 유효한 대안이 아닙니다.
직접 설치하지 않은 MeshCentral 에이전트와 알 수 없는 관리 서버로의 연결이 있는지 확인하십시오.
SSH 키, 데이터베이스 및 RADIUS 비밀번호, VPN 인증서, 애플리케이션 시크릿 등 노출됐을 수 있는 자격 증명을 교체하십시오. 패치를 적용해도 이미 설치된 에이전트가 제거되거나 이미 복사된 비밀번호가 초기화되지는 않습니다.
예상치 못한 SUID 파일, 웹 셸, 변경된 SSH 키, 새로 추가된 원격 관리 소프트웨어 등 숨겨진 재접근 경로를 탐색하십시오.
정리 작업 전에 로그와 증거를 보존하십시오. 공격자의 스크립트 자체가 이를 삭제하도록 설계됐기 때문입니다.

보고서에서 확인된 주요 침해 지표(무해화 표기):