N-able جدید "4EverAble2Shell" صفر روز چند ساعت پس از انتشار PoC مورد سوء استفاده قرار گرفت

هکرها به طور فعال از یک آسیب‌پذیری N-n-central-day zero-day به تازگی فاش شده با نام «4EverAble2Shell» برای به خطر انداختن سرورها و استقرار استخراج‌کنندگان ارزهای دیجیتال استفاده می‌کنند و محققان حداقل 21 سیستم آسیب‌دیده را گزارش می‌کنند که شامل 19 سیستم جدیدترین به‌روزرسانی امنیتی شرکت است.

این حملات به دنبال انتشار دو اکسپلویت روز صفر جدید توسط محقق امنیتی شان بیلز انجام شد، به نام‌های 4EverAble2Shell و Agent2Shell، که به گفته او به مهاجمان اجازه می‌دهد تا دسترسی سطح ریشه به دستگاه‌های N-central و دسترسی در سطح سیستم به سیستم‌های ویندوز داشته باشند.

N-central یک پلت فرم نظارت و مدیریت از راه دور (RMM) است که توسط ارائه دهندگان خدمات مدیریت شده (MSP) و تیم های فناوری اطلاعات برای نظارت، مدیریت و ایمن سازی دستگاه ها و شبکه های مشتری از راه دور استفاده می شود.

آسیب‌پذیری‌های جدید در 12 نوامبر، تنها دو روز پس از آن که N-able به‌روزرسانی‌های امنیتی اضطراری را برای رفع آسیب‌پذیری‌های مهم N-central-day zero-day که بیلز در اوایل این هفته به طور عمومی افشا کرده بود، منتشر کرد، فاش شد.

بیلز اکسپلویت‌های اثبات مفهومی را برای آسیب‌پذیری‌های 4EverAble2Shell و Agent2Shell منتشر کرد و گفت که آنها در برابر N-central Appliance 2026.4.1.26 HF2، به‌روزرسانی امنیتی N-able که در 10 نوامبر منتشر شد، آزمایش شده‌اند.

اکسپلویت 4EverAble2Shell به مهاجمان احراز هویت نشده اجازه می دهد تا دستورات را به صورت روت بر روی سرورهای N-central آسیب پذیر اجرا کنند. با این حال، محقق می‌گوید که بهره‌برداری مستلزم فعال کردن قابلیت Legacy API پلتفرم است.

این حمله یک آسیب‌پذیری Apache Axis را که به‌عنوان CVE-2026-90436 ردیابی می‌شود، با یک ضعف تشدید امتیاز N-central جداگانه برای دسترسی به سطح ریشه ترکیب می‌کند.

دومین اکسپلویت، Agent2Shell، عملکرد عامل N-central را هدف قرار می دهد و ادعا می شود که به مهاجمان اجازه می دهد تا دستورات با امتیازات SYSTEM را در دستگاه های ویندوز اجرا کنند.

این افشاگری‌ها پس از آن صورت گرفت که N-able محیط‌های مرکزی N-مرکزی خود را در اوایل این هفته آفلاین کرد و از مشتریان داخلی خواست پس از انتشار بیش از 30 آسیب‌پذیری ادعایی در روز صفر، سرورهای خود را خاموش کنند.

بیلز از مدیریت N-able با افشای آسیب‌پذیری‌ها و واکنش آهسته شرکت به اصلاح نقص‌های افشا شده مسئولانه انتقاد کرده است.

بیلز به BleepingComputer گفت: «برای من خیلی ساده‌تر است که تحقیقاتی را که دارم منتشر کنم و فروشنده می‌تواند تصمیم بگیرد که چه کاری می‌خواهد با آن انجام دهد، چه کاری انجام می‌دهد و نمی‌خواهد اصلاح کند، و غیره :).

بیلز گفت که N-able دو آسیب‌پذیری RCE نامرتبط را در یک محصول N-able متفاوت که قبلا در ماه جولای به شرکت فاش کرده بود اصلاح نکرده است.

در یک مشاوره امنیتی در 12 نوامبر، N-able گفت که در پاسخ به افشای جدید، حفاظت‌های بیشتری را اجرا می‌کند، از جمله محدود کردن برخی ویژگی‌ها و ادغام‌های N-central در حین ایجاد اصلاحات بیشتر.

N-able گفت: «ما در حال محدود کردن برخی ویژگی‌ها و ادغام‌های مرکزی N هستیم.

این اقدامات ممکن است بر برخی از عملکردها تأثیر بگذارد، اما ما معتقدیم اتخاذ اقدامات احتیاطی اضافی در حین تکمیل اصلاح، اقدام درستی برای محافظت از شرکای ما و مشتریان آنها است.»

این شرکت می‌گوید که یکپارچگی Intune را به عنوان یک اقدام احتیاطی غیرفعال کرده است و از مشتریان داخلی می‌خواهد اطمینان حاصل کنند که دسترسی Legacy API غیرفعال است، که قبلا پیش‌فرض است.

حفاظت‌ها قبلا برای محیط‌های میزبان اعمال شده‌اند، اما به مشتریان نیز توصیه می‌شود که به ارتقای Agents و Probes خود تحت دستورالعمل Hotfix 2 قبلی ادامه دهند.

N-able در مشاوره خود گفت که هیچ نشانه‌ای از مصالحه با استفاده از نقص‌های جدید مشاهده نکرده است، اگرچه محققان امنیتی از آن زمان سوءاستفاده موفقیت‌آمیز از آسیب‌پذیری را در برابر سرورهای N-central تولیدی گزارش کرده‌اند.

شرکت امنیت سایبری Previdian به BleepingComputer گفت که مهاجمان در 12 نوامبر، مدت کوتاهی پس از انتشار عمومی اکسپلویت اثبات مفهوم، بررسی آسیب‌پذیری 4EverAble2Shell را آغاز کردند.

این شرکت ابتدا درخواست های مشکوکی را مشاهده کرد که Honeypot N-central خود را تقریبا در ساعت 08:30 UTC با استفاده از همان کلاس جاوا که در اکسپلویت منتشر شده به طور عمومی ارجاع داده بود، مورد هدف قرار دادند.

در حالی که درخواست‌های اولیه محدود به بررسی سرورهای آسیب‌پذیر بود، Previdian بعدا تأیید کرد که مهاجمان در تلاش بودند تا زنجیره سوء استفاده کامل را علیه سرور Honeypot خود اجرا کنند.

این حملات ابتدا از Apache Axis CVE-2026-90436 برای اجرای دستورات به‌عنوان حساب سرویس «nable» سوء استفاده می‌کنند، سپس از یک آسیب‌پذیری افزایش امتیاز N-central جداگانه برای به دست آوردن امتیازات ریشه سوء استفاده می‌کنند.

این زنجیره حمله با POC Bales منتشر شده در GitHub مطابقت دارد.

طبق گفته‌های Previdian، مرحله افزایش امتیاز از راهنمای ممتاز setLDFileOwner N-central و یک پیوند نمادین برای ایجاد یک اسکریپت معمولی متعلق به ریشه، قابل نوشتن سوء استفاده می‌کند.

سپس مهاجم اسکریپت را تغییر می‌دهد و عملکرد سرور کنترل N-central را فراخوانی می‌کند تا دستورات را به‌عنوان ریشه اجرا کند، در حالی که تلاش می‌کند فایل‌های اصلاح‌شده را پس از آن بازیابی کند.

بارگذاری تلاش کرد تا یک اسکریپت پوسته اضافی را از یک سرور کنترل شده توسط مهاجم در 157.20.241[.]16 دانلود و اجرا کند، در حالی که اطلاعات تشخیصی و خروجی فرمان را به همان آدرس IP ارسال می کرد.

Previdian نقص افزایش امتیاز N-central را به عنوان VULN-2026-0009 ردیابی می کند و آن را به کاتالوگ آسیب پذیری های مورد سوء استفاده شناخته شده (KEV) خود اضافه کرده است.

شرکت امنیت سایبری Huntback همچنین گزارش می دهد که مهاجمان قبلا با موفقیت حداقل 21 سرور N-central تولیدی را با استفاده از زنجیره سوء استفاده عمومی منتشر شده توسط Bales به خطر انداخته اند.

Huntback همان آدرس IP مهاجم را دید که Previdian تقریبا در ساعت 08:30 UTC در 12 نوامبر در حال بررسی هانی‌پات‌های N مرکزی خود بود، با اولین تلاش‌ها برای اجرای زنجیره اکسپلویت کامل در ساعت 09:16 UTC.

حملاتی که هانتبک مشاهده کرد، از زنجیره بهره برداری 4EverAble2Shell برای دانلود یک اسکریپت شل که یک استخراج کننده ارز دیجیتال XMRig Monero را نصب می کرد، سوء استفاده کرد.

ماینر طوری پیکربندی شده بود که از حدود نیمی از هسته‌های CPU موجود استفاده کند که احتمالا تشخیص ماینینگ را سخت‌تر می‌کند.

هانتبک سایر سیستم‌های در معرض خطر را از طریق آمار استخر استخراج ارز دیجیتال مهاجم شناسایی کرد، جایی که به سیستم‌های آلوده شناسه‌هایی اختصاص داده شد که با nc_ و سپس آدرس IP سرور شروع می‌شد.

در ساعت 12:50 UTC در 12 نوامبر، محققان 21 ماینر فعال را پیدا کردند که از این قرارداد نامگذاری استفاده می کردند، که همه آنها سهام استخراج را در پنج دقیقه قبل ارسال کرده بودند.

محققان سپس آدرس‌های IP مرتبط را بررسی کردند و تأیید کردند که همه 21 نصب N-central، از جمله 19 مورد در حال اجرا نسخه 2026.4.1.26، آخرین نسخه Hotfix 2 که در 10 نوامبر منتشر شد، میزبانی می‌شوند.

سرورهای در معرض خطر در چندین کشور از جمله ایالات متحده، کانادا، آفریقای جنوبی، بریتانیا، آلمان، فرانسه و سوئد قرار داشتند.

در حالی که حملات مشاهده شده تا کنون عمدتا برای رمزنگاری استفاده شده است، مهاجمان می‌توانند از زیرساخت‌های مرکزی N به خطر افتاده برای فعالیت‌های مخرب اضافی که محیط‌های مدیریت شده مشتریان را هدف قرار می‌دهند، استفاده کنند.

سازمان‌هایی که N-central را اجرا می‌کنند باید اطمینان حاصل کنند که APIهای قدیمی غیرفعال هستند و درخواست‌های مشکوک به /dms/services/ServerUI را بررسی کنند، به‌ویژه آنهایی که به jline.internal.TerminalLineSettings ارجاع می‌دهند.

Huntback همچنین توصیه می‌کند که خدمات غیرمنتظره xvd.service systemd، فرآیندهای استخراج ارز دیجیتال و فایل‌های ایجاد شده در /tmp/.xvd یا /var/tmp/.xvd را بررسی کنید.

از آنجایی که حمله 4EverAble2Shell به سرورهای اکسپلویت شده دسترسی کامل به ریشه می دهد، سازمان هایی که این IOC ها را شناسایی می کنند باید این نقض را به عنوان یک نفوذ کامل سرور در نظر بگیرند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

N-able رفع‌های فوری امنیتی را برای آسیب‌پذیری‌های روز صفر منتشر می‌کند

N-able پس از انتشار بیش از 30 روز صفر، پلتفرم ابر را آفلاین می کند

Arista وصله های جدید VeloCloud Orchestrator zero-day را که در حملات مورد سوء استفاده قرار می گیرد

وصله های Arista به طور فعال از VeloCloud Orchestrator zero-day بهره برداری کردند

F5 نقص BIG-IP APM روز صفر را که در حملات RCE مورد سوء استفاده قرار می‌گیرد وصله می‌کند