Злоумышленники эксплуатируют N-central для установки майнера XMRig

12 ноября 2026 года, через несколько часов после публикации концепции доказательства (PoC) 4EverAble2Shell для N-able N-central, инфраструктура злоумышленника начала эксплуатировать действующие серверы. Успешная атака сначала даёт возможность выполнять код от имени пользователя nable, а затем повышает привилегии до root. На серверах устанавливается майнер XMRig для добычи Monero.

Эксплуатация N-central и установка майнера

Атака нацелена на конечную точку Apache Axis SOAP /dms/services/ServerUI. Для эксплуатации используется специально сформированное SOAP-исключение с Java-классом exceptionName. При повышении привилегий цепочка задействует операцию с символьной ссылкой и права владения файлом, чтобы заменить и выполнить от имени root ServerChild.sh. Вредоносный скрипт выполняет команду, переданную оператором, а затем устанавливает XMRig.

Установщик jup.sh обнаружен с SHA-256 fc4c01fd11bc301cf312830460cfdccc3af9dcfe50c910b86d6a1117bc76c747. Он загружает полезную нагрузку с 157.20.241.16:8080, размещает файлы в каталоге /tmp/.xvd или /var/tmp/.xvd и ограничивает майнинг примерно половиной доступных ядер ЦП, максимум восемью потоками. На системах с ограниченным объёмом памяти майнер поддерживает режим RandomX light.

Для майнинга используются идентификаторы рига на основе IP-адреса жертвы, например nc_<victim-ip>. Майнер подключается к 139.99.69.109:10128 или резервному пулу 79.76.51.56:39100. ВПО также передаёт по HTTP данные о запуске и сведения о системе.

Закрепление и признаки компрометации

Закрепление обеспечивают один или несколько периодически перезапускающих майнер механизмов:

• служба xvd.service;
• файл /etc/cron.d/xvd;
• запись в crontab с меткой # xvkeep.

Зафиксировано не менее 21 реального сервера N-central, на котором выполнялся майнинг. Из них 19 работали на сборке 2026.4.1.26, идентифицированной как N-central 2026.4 Hotfix 2. По оценке авторов отчёта, применение только исправления не предотвратило компрометацию, вероятно, потому что уязвимость эксплуатировали до установки патча или сервер находился в ином уязвимом состоянии.

В качестве возможных доказательств компрометации авторы отчёта перечисляют:

• файлы .xvd, serverchild-*.bak и связанные с ними файлы;
• символьную ссылку flag_default.json;
• процессы майнеров с параметром --rig-id nc_;
• исходящие соединения с указанной инфраструктурой;
• SOAP-запросы с исключением, содержащим jline.internal.TerminalLineSettings.

Любую подтверждённую активность следует рассматривать как полную компрометацию с правами root.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.