Atakujący aktywnie wykorzystują lukę zero-day w systemie N-central do instalowania koparek kryptowalut

Hakerzy aktywnie wykorzystują nowo ujawnioną lukę typu zero-day w platformie N-central firmy N-able, określaną mianem 4EverAble2Shell, w celu przejmowania serwerów i wdrażania oprogramowania do wydobywania kryptowalut. Badacze bezpieczeństwa zgłaszają, że co najmniej dwadzieścia jeden systemów zostało dotkniętych tymi atakami, w tym dziewiętnaście urządzeń działających z najnowszą aktualizacją zabezpieczeń dostarczoną przez producenta. Incydenty te mają miejsce zaledwie kilka godzin po tym, jak kod dowodzący skuteczność exploita został udostępniony publicznie.

Ataki nastąpiły bezpośrednio po opublikowaniu przez badacza bezpieczeństwa Seana Balesa dwóch nowych exploita typu zero-day, nazwanych 4EverAble2Shell oraz Agent2Shell. Zgodnie z informacjami od autora, narzędzia te pozwalają napastnikom na uzyskanie dostępu na poziomie root do urządzeń N-central oraz dostępu na poziomie SYSTEM w systemach operacyjnych Windows. Publikacja ta miała miejsce dwanaście listopada, czyli tylko dwa dni po tym, jak firma N-able wydała awaryjne aktualizacje mające naprawić krytyczne luki zero-day, które ten sam badacz ujawnił wcześniej w tym tygodniu.

Exploit 4EverAble2Shell umożliwia nieautoryzowanym atakującym wykonywanie poleceń jako użytkownik root na podatnych serwerach N-central, pod warunkiem że funkcjonalność starszego interfejsu API jest włączona. Atak ten łączy lukę w oprogramowaniu Apache Axis, oznaczoną jako CVE-2026-90436, z oddzielnym błędem pozwalającym na eskalację uprawnień wewnątrz platformy N-central. Drugi z opublikowanych exploitów, Agent2Shell, celuje w funkcjonalność agenta i rzekomo pozwala na wykonywanie poleceń z uprawnieniami SYSTEM na urządzeniach z systemem Windows. Badacz stwierdził, że testy przeprowadzono na wersji N-central Appliance 2026.4.1.26 HF2, która była aktualizacją wydaną dziesiątego listopada.

Firmy zajmujące się cyberbezpieczeństwem potwierdziły szybkie pojawienie się prób wykorzystania tych błędów w środowisku produkcyjnym. Firma Previdian poinformowała, że atakujący zaczęli sondować sieć w poszukiwaniu luki 4EverAble2Shell dwunastego listopada, krótko po publicznym udostępnieniu kodu dowodzącego koncepcję. Pierwsze podejrzane żądania skierowane do pułapki sieciowej honeypot odnotowano około godziny ósmej trzydzieści czasu uniwersalnego koordynowanego, wykorzystując tę samą klasę Java, na którą powoływał się publiczny exploit. Początkowe działania ograniczały się do wykrywania podatnych serwerów, lecz później potwierdzono próby wykonania pełnego łańcucha ataku.

Łańcuch ataku obserwowany przez firmę Previdian najpierw wykorzystuje lukę Apache Axis do wykonania poleceń jako konto usługi nable, a następnie używa błędu eskalacji uprawnień do uzyskania pełnych praw root. Metoda ta obejmuje nadużycie pomocniczej funkcji setLDFileOwner oraz dowiązania symbolicznego, aby uczynić skrypt należący do roota zapisywalnym. Napastnik modyfikuje następnie ten skrypt i wywołuje funkcjonalność serverControl w celu wykonania poleceń jako root, próbując przywrócić zmodyfikowane pliki po zakończeniu działań. Ładunek próbował pobrać i uruchomić dodatkowy skrypt powłoki z serwera kontrolowanego przez atakującego, wysyłając jednocześnie informacje diagnostyczne i wyniki poleceń pod ten sam adres IP.

Inna firma bezpieczeństwa, Huntback, zgłosiła, że atakujący pomyślnie przejęli co najmniej dwadzieścia jeden produkcyjnych serwerów N-central, używając publicznie dostępnego łańcucha exploitów opracowanego przez Balesa. Firma ta zaobserwowała ten sam adres IP atakującego, co Previdian, sondujący jej pułapki sieciowe, przy czym pierwsze próby wykonania pełnego ataku rozpoczęły się o godzinie dziewiątej szesnaście czasu uniwersalnego koordynowanego. Ataki te wykorzystywały łańcuch 4EverAble2Shell do pobrania skryptu instalującego koparkę kryptowaluty Monero o nazwie XMRig. Oprogramowanie wydobywcze zostało skonfigurowane tak, aby wykorzystywać około połowy dostępnych rdzeni procesora, co prawdopodobnie miało na celu utrudnienie wykrycia działalności.

W odpowiedzi na nowe ujawnienia firma N-able ogłosiła wdrażanie dodatkowych środków ochrony, w tym ograniczenie niektórych funkcji i integracji platformy N-central podczas opracowywania dalszych poprawek. Firma poinformowała, że wyłączyła integrację z usługą Intune jako środek ostrożności i wezwała klientów korzystających z rozwiązań lokalnych do upewnienia się, że dostęp do starszego interfejsu API jest wyłączony, co jest już ustawieniem domyślnym. Środki te zostały już zastosowane w środowiskach hostowanych, ale klienci są również adviseowani do kontynuowania aktualizacji swoich agentów i sond zgodnie z poprzednimi wytycznymi dotyczącymi drugiej poprawki hotfix. Przedsiębiorstwo stwierdziło w swoim doradztwie, że nie widziało oznak kompromitacji z wykorzystaniem nowych błędów, choć badacze bezpieczeństwa od tamtego czasu zgłosili skuteczne wykorzystanie luki przeciwko produkcyjnym serwerom.