Хакеры взломали как минимум 21 сервер N-able N-central всего через несколько часов после публикации нового эксплойта 4EverAble2Shell. Самое неприятное, что 19 пострадавших серверов уже работали с последним исправлением безопасности, выпущенным всего двумя днями ранее.
12 ноября исследователь Шон Бейлс (Sean Bales) опубликовал два новых эксплойта, 4EverAble2Shell и Agent2Shell, для платформы удалённого управления N-central. Первый позволяет захватить сервер с правами root без авторизации, второй, по утверждению автора, даёт доступ уровня SYSTEM на управляемых компьютерах Windows. Оба проверены на версии 2026.4.1.26 HF2.
Новые уязвимости появились на фоне предыдущего кризиса N-able. 8 ноября Бейлс раскрыл 33 предполагаемые уязвимости и несколько цепочек взлома. Производитель временно отключил облачную платформу и рекомендовал клиентам остановить собственные серверы. 10 ноября компания выпустила Hotfix 2, однако спустя двое суток исследователь продемонстрировал новые способы атаки.
4EverAble2Shell объединяет ошибку Apache Axis CVE-2026-90436 с отдельной уязвимостью повышения привилегий N-central. Сначала атакующий выполняет команды от имени служебной учётной записи nable, затем через символическую ссылку и привилегированную утилиту меняет защищённый сценарий. Последующий запуск даёт права root. Для атаки требуется включённый Legacy API, который по умолчанию отключён.
Компания Previdian зафиксировала первые подозрительные запросы около 08:30 UTC 12 ноября. Уже в 09:16 UTC специалисты Huntback наблюдали попытки выполнить полную цепочку. Злоумышленники загружали сценарий установки XMRig для добычи Monero. Майнер занимал примерно половину процессорных ядер, предположительно, чтобы не привлекать внимания администраторов.
Масштаб атаки удалось установить благодаря самим преступникам. Заражённые серверы получали идентификаторы с префиксом nc_ и собственным IP-адресом. В 12:50 UTC исследователи обнаружили в статистике майнинг-пула 21 активную систему и сопоставили адреса с работающими установками N-central. Жертвы находились в США, Канаде, ЮАР, Великобритании, Германии, Франции и Швеции.
N-able ввела дополнительные ограничения, временно отключила интеграцию с Microsoft Intune и рекомендовала владельцам локальных серверов проверить состояние Legacy API. Для облачных установок защитные меры уже применили. На момент заявления производитель не подтверждал успешных атак, хотя независимые исследователи обнаружили признаки взлома реальных систем.
Администраторам советуют проверить запросы к /dms/services/ServerUI, неизвестную службу xvd.service и каталоги /tmp/.xvd и /var/tmp/.xvd. Обнаружение подобных следов требует рассматривать сервер как полностью скомпрометированный. Пока преступники используют доступ для криптоджекинга, но захваченная консоль N-central потенциально позволяет атаковать и устройства клиентов, которыми управляет платформа.
