מערכת N-central של N-able, שספקי IT מנוהלים (MSP) רבים משתמשים בה לניהול מרחוק של מחשבי הלקוחות, שוב מותקפת. החוקר Sean Bales פרסם שתי שרשראות תקיפה, 4EverAble2Shell ו-Agent2Shell, שלפי הדיווחים עובדות גם על גרסה 2026.4 Hotfix 2, העדכון שיצא ב-10 בנובמבר. לפי Huntback, 21 שרתי N-central נפרצו, ו-19 מהם כבר היו מעודכנים ל-Hotfix 2.

מה ידוע

  • 4EverAble2Shell מאפשרת לתוקף להריץ קוד בהרשאות root על שרת N-central מקומי (On-Premise) בלי להזדהות. Agent2Shell מאפשרת להריץ פקודות בהרשאות SYSTEM על מחשבי Windows שהמערכת מנהלת.
  • לפי N-able, התקיפה על השרת אפשרית רק כשה-Legacy API מופעל וחשוף לאינטרנט. זו אינה הגדרת ברירת המחדל, והחברה אישרה שהתוקפים מכוונים בדיוק ללקוחות שלא כיבו אותו.
  • בשרתים שנפרצו התקינו התוקפים כורה מטבעות קריפטו. עם זאת, מי שמשיג root על מערכת שמנהלת את המחשבים של כל הלקוחות יכול לעשות בה כמעט כל דבר. לכן החוקרים ממליצים להתייחס לכל זיהוי כפריצה מלאה.
  • בסביבות המתארחות אצל N-able כובה ה-Legacy API כברירת מחדל, והאינטגרציה עם Intune הושבתה זמנית.

מה עושים

  • ודאו מיד שה-Legacy API כבוי, ושממשק הניהול של N-central אינו חשוף לאינטרנט בלי צורך.
  • שדרגו את השרת, ה-Agents וה-Probes לגרסה 2026.4 HF1 ומעלה לפי הנחיות N-able. יש לשדרג את שני הרכיבים.
  • חפשו באופן יזום את האינדיקטורים ש-N-able פרסמה, ובדקו אם יש עומס חריג על המעבד שיכול להעיד על כורה.
  • אם ספק IT מנהל את המחשבים בארגון שלכם, שאלו אותו באיזו מערכת הוא משתמש ואם כבר טיפל בבעיה.

מקורות