Retour

Huntback Signale des Attaques Minières 4EverAble2Shell

Bureau de lite News 2 min de lecture

Un opérateur a installé le logiciel XMRig pour miner du Monero sur des serveurs N-able N-central en utilisant la chaîne d'exploitation 4EverAble2Shell, selon les observations de Huntback le 12 novembre 2026. Son enquête a lié 21 rigs de minage actifs à des adresses IP affichant des pages de connexion N-central.

Parmi ces 21 serveurs associés, 19 se sont identifiés comme étant la version 2026.4.1.26, a déclaré Huntback. Cette version correspond à N-central 2026.4 Hotfix 2, publiée le 10 novembre 2026.

N-central fournit des fonctions de surveillance et de gestion à distance pour les fournisseurs de services gérés et les équipes informatiques, leur permettant d'administrer à distance les appareils et réseaux des clients. L'activité de minage documentée par Huntback impliquait des serveurs exécutant ce logiciel.

Le compte provenait du compte de pool de minage de l'opérateur. À 12h50 UTC le 12 novembre, Huntback a enregistré 21 rigs actifs, chacun ayant soumis des parts de minage au cours des cinq minutes précédentes. Ce chiffre décrit les rigs liés aux adresses IP des serveurs dans l'enquête, plutôt qu'un total établi indépendamment des organisations affectées. Huntback a associé les adresses IP au Canada, aux États-Unis, à l'Afrique du Sud, à la Suède, à la France, à l'Allemagne et au Royaume-Uni.

Le mécanisme d'exploitation signalé combine l'exécution de commandes via Apache Axis avec une vulnérabilité distincte d'escalade de privilèges dans N-central, selon BleepingComputer. Dans l'activité observée par Huntback, l'exécution a commencé sous le compte de service nable ; l'opérateur a ensuite obtenu des privilèges root et installé le mineur. Cette séquence observée n'établit pas le mécanisme utilisé sur chaque serveur associé.

L'exploitation nécessite que la fonctionnalité Legacy API de N-central soit activée, selon BleepingComputer. Par ailleurs, la documentation des développeurs de N-able décrit un paramètre de serveur par lequel les administrateurs peuvent temporairement restaurer l'accès à certaines API héritées obsolètes. La documentation indique que les activer peut exposer le serveur à des exploits malveillants. Ces conditions générales n'établissent pas le paramètre API sur chaque serveur dans le compte de Huntback.

La chronologie de Huntback enregistre la publication de la preuve de concept publique 4EverAble2Shell à 03h58 UTC le 12 novembre. Une sonde contre son leurre a été enregistrée à 08h30 UTC, tandis que 09h16 UTC marque la première tentative d'exécuter la chaîne d'exploitation complète que Huntback a observée.

* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.

Plus d’articles de Cybersécurité

  1. Binance a déclaré que les retraits sont restaurés par étapes ; des vérifications indépendantes de la couverture 1:1 attendent une preuve à connaissance nulle estimée à 40–50 heures.

  2. L'exécution de commandes à distance nécessite que HTTP/2 soit activé ; les serveurs configurés uniquement pour HTTP/1.1 sont exclus de l'évaluation de Red Hat.

  3. Onapsis a signalé aucune exploitation observée dans la nature au 10 novembre 2026.

  4. La vulnérabilité affecte les systèmes Linux utilisant musl sans PAM dans des conditions spécifiques d'authentification par mot de passe et de compte.

  5. L'exploitation nécessite qu'un utilisateur ouvre un fichier de message spécialement préparé ; Outlook peut alors contacter une destination réseau contrôlée par un attaquant sans son avertissement habituel.