Kritische N-central Sicherheitslücke löst aktive Ausnutzung aus

Zusammenfassung

Eine kritische Umgehungsschwachstelle in der Authentifizierung von N-able N-central ermöglicht es nicht authentifizierten Angreifern, vollen Zugang zur RMM-Konsole zu erhalten. Bedrohungsakteure nutzen die Schwachstelle aktiv aus, um in weiterführende Endpunkte vorzudringen, Domänencontroller anzugreifen und Persistenz zu etablieren. Die Schwachstelle kann Remotecodeausführung und laterale Bewegungen über verwaltete Kundenumgebungen hinweg ermöglichen.

Untersuchung

Huntress identifizierte eine aktive Ausnutzung, bei der Angreifer die Funktion N-central Take Control missbrauchen, um sich in Kundennetzwerken zu bewegen. Die Untersuchung zeigte, dass Gegner hochrangige Aufklärung gegen kritische Systeme wie Domänencontroller durchführten und Prozesslisten anforderten, um Hosts zu erfassen. Der anfängliche Zugriff wird häufig durch VPN-Ausgangsknoten verschleiert, die mit Anbietern wie NordVPN und Mullvad verbunden sind.

Minderung

Die primäre Abhilfe besteht darin, das N-able N-central-Hotfix-Version 2026.3.1.7 sofort zu installieren. Organisationen sollten außerdem den Zugriff auf die N-central-Konsole auf genehmigte IP-Bereiche beschränken und Mehrfaktor-Authentifizierung (MFA) durchsetzen. Wenn ein Patchen nicht umgehend abgeschlossen werden kann, kann es helfen, den N-central-Server vorübergehend offline zu nehmen, um weitere Ausnutzungen zu verhindern.

Reaktion

Wenn verdächtige Aktivitäten erkannt werden, sollten betroffene Endpunkte mit Managed Response-Fähigkeiten isoliert werden. Überprüfen Sie die N-central-UI und Remote-Zugriffsprotokolle auf Sitzungen, die von bekannten bösartigen IP-Adressen oder ungewöhnlichen Support-Konten ausgehen. Außerdem sollten Windows-Endpunktprotokolle auf verdächtige Take Control-Aktivitäten, nicht autorisierte Dienstnamen und unerwartete Dateien in Benutzerverzeichnissen überprüft werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Basislinien-Preflight-Check muss bestanden sein.

Begründung: In diesem Abschnitt wird die genaue Ausführung der gegnerischen Technik (TTP) beschrieben, die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genau erwartete Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Ein Gegner hat erfolgreich einen N-central-Server kompromittiert und versucht, unter Ausnutzung der „Take Control“-Funktion in die Zielumgebung vorzustoßen. Um der Detektion durch Standard-EDR-Prozessüberwachung zu entgehen, lösen sie die ereignisbasierte Logik auf Anwendungsebene im N-central-Agenten aus. Diese Aktion erzeugt spezifische Einträge im Windows-Anwendungsereignisprotokoll (hier simuliert durch manuelle Injektion der Ziel-Ereignis-IDs), die den Übergang von einem Verwaltungsbefehl zu einer interaktiven Remote-Sitzung darstellen.

• Regressionstestskript:

  # Simulationsskript zur Auslösung der spezifischen von der Sigma-Regel anvisierten Ereignis-IDs
  # Hinweis: In einem realen Szenario werden diese vom Programm selbst erzeugt.
  # Zu Validierungszwecken verwenden wir New-EventLog und Write-EventLog.
  
  $LogName = "Application"
  $Source = "N-central_Sim"
  
  # Erstellen Sie eine Dummy-Quelle, falls sie nicht existiert (Erfordert Admin)
  if (-not [System.Diagnostics.EventLog]::SourceExists($Source)) {
      New-EventLog -LogName $LogName -Source $Source
  }
  
  Write-Host "[+] Simuliere N-central-Ausnutzung über Ereignis-ID 4102..."
  Write-EventLog -LogName $LogName -Source $Source -EntryType Warning -EventId 4102 -Message "Nicht autorisierter Remote-Sitzungsstart erkannt über N-central Take Control."
  
  Write-Host "[+] Simuliere N-central-Ausnutzung über Ereignis-ID 8192..."
  Write-EventLog -LogName $LogName -Source $Source -EntryType Information -EventId 8192 -Message "N-central-Dienstsitzung hergestellt."
  
  Write-Host "[+] Simuliere N-central-Ausnutzung über Ereignis-ID 8193..."
  Write-EventLog -LogName $LogName -Source $Source -EntryType Information -EventId 8193 -Message "Remote-Kontrollmodul geladen."
  
  Write-Host "[!] Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnungen."

• Aufräumbefehle:

  # Bereinigung: Entfernen Sie die simulierte Ereignisquelle
  Remove-EventLog -Source "N-central_Sim"
  Write-Host "[+] Bereinigung abgeschlossen: Simulierte Quelle entfernt."