Критична вразливість N-central провокує активну експлуатацію

Резюме

Критична вразливість обходу автентифікації в N-able N-central дозволяє неаутентифікованим атакуючим отримати доступ режиму бога до консолі RMM. Зловмисники активно експлуатують цю вразливість для проникнення до кінцевих точок, націлювання на контролери домену та встановлення стійкості. Вразливість може дозволити віддалене виконання команд і латеральний рух через середовища управління клієнтами.

Розслідування

Huntress ідентифікували активну експлуатацію, в якій зловмисники зловживають функцією Take Control в N-central для переміщення по мережам клієнтів. Розслідування показало, що супротивники проводять високорівневу розвідку проти критичних систем, таких як контролери домену, і запитують списки процесів для перерахування хостів. Початковий доступ часто маскується через вузли виходу VPN, пов’язані з провайдерами, такими як NordVPN та Mullvad.

Пом’якшення

Основним заходом для усунення є застосування гарячої виправки N-able N-central версії 2026.3.1.7 негайно. Організації також повинні обмежити доступ до консолі N-central до затверджених діапазонів IP-адрес та запровадити багатофакторну аутентифікацію (MFA). Якщо не можна швидко завершити виправлення, тимчасове вимкнення сервера N-central може допомогти запобігти додатковій експлуатації.

Реакція

Якщо виявлено підозрілу активність, уражені кінцеві точки повинні бути ізольовані за допомогою керованих можливостей реагування. Перегляньте UI і журнали віддаленого доступу N-central для сесій, що походять від відомих зловмисних IP-адрес або незвичайних облікових записів служби підтримки. Також повинні бути проаналізовані журнали кінцевих точок Windows для підозрілої діяльності Take Control, несанкціонованих імен служб та неочікуваних файлів, створених у каталогах документів користувачів.

Виконання симуляції

Передумова: Попередня перевірка телеметрії та базової лінії повинні бути успішними.

Обґрунтування: Цей розділ детально описує точне виконання техніки супротивника (TTP), яка покликана активувати правило виявлення. Команди та оповіді ПОВИННІ безпосередньо відображати ідентифіковані TTP та спрямовані на генерацію точної телеметрії, очікуваної логікою виявлення. Абстрактні або нерелевантні приклади призведуть до помилкової діагностики.

• Наратив атаки та команди: Зловмисник успішно скомпрометував сервер N-central та намагається проникнути в цільове середовище, використовуючи експлуатацію функції “Take Control”. Щоб уникнути виявлення стандартним процесом моніторингу EDR, вони активують логіку подій на рівні додатка в агенті N-central. Ця дія створює специфічні записи в журналі подій додатків Windows (симулюються тут за допомогою ручного впровадження цільових ідентифікаторів подій), які представляють перехід від команди управління до інтерактивної сесії віддаленого доступу.

• Скрипт регресійного тестування:

  # Скрипт симуляції для запуску конкретних ID подій, на які націлено правило Sigma
  # Зауваження: У реальному сценарії це генерує сам додаток.
  # З метою валідації ми використовуємо New-EventLog і Write-EventLog.
  
  $LogName = "Application"
  $Source = "N-central_Sim"
  
  # Створіть фіктивне джерело, якщо воно не існує (вимагає прав адміністратора)
  if (-not [System.Diagnostics.EventLog]::SourceExists($Source)) {
      New-EventLog -LogName $LogName -Source $Source
  }
  
  Write-Host "[+] Симулюємо експлуатацію N-central через ID події 4102..."
  Write-EventLog -LogName $LogName -Source $Source -EntryType Warning -EventId 4102 -Message "Виявлено несанкціоноване ініціювання віддаленої сесії через N-central Take Control."
  
  Write-Host "[+] Симулюємо експлуатацію N-central через ID події 8192..."
  Write-EventLog -LogName $LogName -Source $Source -EntryType Information -EventId 8192 -Message "Встановлено сесію служби N-central."
  
  Write-Host "[+] Симулюємо експлуатацію N-central через ID події 8193..."
  Write-EventLog -LogName $LogName -Source $Source -EntryType Information -EventId 8193 -Message "Завантажено модуль віддаленого керування."
  
  Write-Host "[!] Симуляцію завершено. Перевірте SIEM на наявність попереджень."

• Команди очищення:

  # Очищення: Видалення симульованого джерела подій
  Remove-EventLog -Source "N-central_Sim"
  Write-Host "[+] Очистка завершена: симульоване джерело видалено."