N-способные N-центральные результаты эксплуатации приводят к развертыванию инструмента RMM.

1 августа 2026 года компания N-able выпустила уведомление, в котором сообщалось об активной эксплуатации уязвимости, затрагивающей платформу удаленного мониторинга и управления (RMM) N-central. Уязвимость (CVE-2026-18577) характеризуется как обход аутентификации, позволяющий получить привилегированный доступ к интерфейсу управления платформы как в размещенных, так и в локальных реализациях. В качестве основной причины сообщалось о неполном исправлении для CVE-2026-18556, опубликованном 1 августа, хотя N-able напрямую это утверждение не подтвердила. 2 августа N-able опубликовала исправление для CVE-2026-18577, в котором содержались подробности об наблюдаемой активности эксплуатации. 4 августа N-able опубликовала дополнительное уведомление, указывающее на то, что эксплуатация началась 31 июля как уязвимость нулевого дня.

Исследователи Sophos Counter Threat Unit™ (CTU) выявили одну скомпрометированную организацию в телеметрии клиентов Sophos и не обнаружили никаких признаков широкомасштабных взломов. Взлом произошел примерно в 08:00 UTC 3 августа, и злоумышленник использовал скомпрометированный сервер N-central для доступа к важным конечным точкам, таким как сервер резервного копирования, контроллеры домена и серверы приложений.

Подробности атаки

В ходе вторжения злоумышленник создал новую учетную запись домена с именем «veeam» и сбросил пароли нескольких существующих учетных записей администраторов домена. Было выполнено несколько команд «net user» для перечисления существующих учетных записей в сети. Кроме того, были выполнены две команды сетевой разведки:

• nltest /dclist:
• net group “domain admins” /domain

Благодаря возможности удаленного управления, полученной путем эксплуатации уязвимости N-central, злоумышленник развернул множество инструментов RMM на доступных конечных точках. В число этих инструментов входили AnyDesk (AnyDesk.exe), TacticalRMM (установленный с помощью скрипта PowerShell install_server.ps1 и пакета tacticalagent-v2.11.0-windows-amd64.exe), TeamViewer (team.msi и TeamViewer_Setup.exe), RustDesk (rustdesk.exe), SimpleHelp (service64off.exe) и HopToDesk. На нескольких хостах был установлен Cloudflare Tunnel (cloudeflared.exe), но он был переименован в MicrosoftEdgeUpdate64.exe или msmp.exe, чтобы замаскироваться под безобидный файл. Злоумышленник использовал этот туннель для получения постоянного удаленного доступа к среде.

N-able указал, что файл с именем svchost.exe в папке «Документы» пользователя (т.е. %USERPROFILE%Documents) может свидетельствовать о взломе системы, однако исследователи CTU не обнаружили этого имени файла в среде пострадавшего клиента Sophos. Возможно, svchost.exe — одно из легитимных имен файлов Windows, используемых злоумышленниками для маскировки cloudflared.exe.

Злоумышленник использовал команду «tasklist» с перенаправлением вывода в команды «findstr ms» и «findstr soph» для идентификации хостов, на которых работали агенты Microsoft Defender или Sophos соответственно. После идентификации продукта безопасности инструмент обхода системы обнаружения и реагирования на угрозы (EDR) PhantomKiller загружал драйвер с именем k.sys, расположенный в C:ProgramDataAnyDesk. В одном из случаев PhantomKiller (с именем 9.exe) завершил процесс Sophos File Scanner (sophosfilescanner.exe).

Рекомендации, контрмеры и показатели

Исследователи CTU™ рекомендуют организациям, использующим N-central, как можно скорее установить соответствующее исправление в своих средах. Организациям также следует провести поиск в своей среде признаков, которые могут указывать на компрометацию, и принять соответствующие меры.

В ответ на эту угрозу компания Sophos предлагает следующие меры противодействия:

• CXmal/KillAV-BR

Индикаторы угроз, представленные в Таблице 1, могут быть использованы для обнаружения активности, связанной с этой угрозой. Обратите внимание, что IP-адреса могут быть перераспределены. Домены и IP-адреса могут содержать вредоносный контент, поэтому учитывайте риски, прежде чем открывать их в браузере.

Таблица 1: Индикаторы этой угрозы

Читать полностью на источнике