Penyerang mulai mengeksploitasi zero-day 4EverAble2Shell pada N-able N-central hanya beberapa jam setelah proof of concept dipublikasikan. Serangan digunakan untuk memasang penambang kripto, dan peneliti melaporkan sedikitnya 21 server produksi terdampak, termasuk 19 yang sudah menjalankan Hotfix 2 terbaru saat itu.
Temuan tersebut memperlihatkan bahwa pemasangan pembaruan darurat 10 November 2026 belum cukup untuk menghadapi rantai serangan baru. Eksploitasi 4EverAble2Shell mensyaratkan fitur Legacy API aktif, sehingga status konfigurasi perlu diperiksa bersama versi perangkat lunak.
Rantai serangan berujung pada hak root
Peneliti Sean Bales mengungkap 4EverAble2Shell dan Agent2Shell pada 12 November. Keduanya diklaim telah diuji pada N-central Appliance 2026.4.1.26 HF2, versi pembaruan keamanan yang baru dirilis dua hari sebelumnya.
4EverAble2Shell menggabungkan celah Apache Axis CVE-2026-90436 dengan kelemahan eskalasi hak akses N-central. Tahap awal memungkinkan eksekusi perintah sebagai akun layanan, kemudian tahap berikutnya meningkatkan hak akses menjadi root.
Previdian mengonfirmasi percobaan rantai eksploitasi terhadap honeypot miliknya dan melacak kelemahan N-central terkait sebagai VULN-2026-0009. Pengamatan terhadap honeypot menunjukkan adanya upaya serangan, sedangkan laporan kompromi server produksi berasal dari penelitian Huntback.
Agent2Shell merupakan eksploit terpisah yang menargetkan fungsi agent dan diklaim memungkinkan eksekusi perintah dengan hak SYSTEM pada perangkat Windows. Laporan penambangan kripto yang dibahas di sini berhubungan dengan 4EverAble2Shell pada server N-central.
Dari publikasi PoC ke penambangan Monero
Menurut kronologi Huntback, proof of concept muncul pada 12 November pukul 03.58 UTC atau 10.58 WIB. Pemeriksaan pertama ke server umpan mereka terlihat pukul 08.30 UTC, sekitar empat setengah jam kemudian, disusul percobaan rantai lengkap pada 09.16 UTC.
Payload memasang XMRig untuk menambang Monero. Huntback menelusuri statistik pool penambangan dan menemukan 21 instans aktif dengan penamaan yang memuat alamat IP korban pada pukul 12.50 UTC. Pemeriksaan lanjutan menunjukkan alamat tersebut menjalankan N-central.
Sebanyak 19 instans melaporkan build 2026.4.1.26. Temuan ini menjadi dasar peringatan bahwa Hotfix 2 untuk pengungkapan sebelumnya tidak dengan sendirinya mencegah serangan baru ketika Legacy API masih aktif.
Vendor membatasi fitur dan memperbarui indikator
N-able meminta pelanggan on-premises memastikan Legacy API dinonaktifkan. Fitur tersebut tidak aktif secara bawaan. Integrasi Intune juga dinonaktifkan sementara sebagai langkah pencegahan, sementara perlindungan sisi server untuk lingkungan hosted diterapkan langsung oleh vendor.
Pelanggan tetap diminta mengikuti panduan Hotfix 2, termasuk memperbarui Agents dan Probes. Langkah ini perlu berjalan bersama pembatasan fitur, bukan diperlakukan sebagai pilihan yang saling menggantikan.
Pada pembaruan 13 November pukul 13.40 UTC atau 20.40 WIB, N-able memublikasikan indikator kompromi yang disebut relevan bagi pelanggan yang belum menonaktifkan Legacy API. Vendor menyatakan penilaian keamanan dan remediasi masih berlangsung, serta bekerja dengan pelanggan tertentu untuk menilai risiko.
Temuan miner harus memicu pemeriksaan menyeluruh
Huntback menyarankan pemeriksaan terhadap layanan systemd xvd.service yang tidak dikenal, proses penambangan, serta direktori /tmp/.xvd atau /var/tmp/.xvd. Artefak tersebut merupakan indikator aktivitas yang diamati dalam kampanye ini, bukan daftar seluruh kemungkinan dampak kompromi.
Administrator juga dapat meninjau permintaan mencurigakan ke /dms/services/ServerUI. Untuk pemantauan jaringan, daftar vendor mencakup koneksi keluar menuju 157.20.241[.]16 pada port 8080 dan rentang 19202–19418, serta dua alamat pool penambangan.
Karena rantai serangan memberikan hak root pada platform pengelolaan jarak jauh, keberadaan miner tidak boleh dianggap sekadar penyalahgunaan CPU. N-central digunakan MSP dan tim TI untuk mengelola perangkat pelanggan, sehingga insiden perlu dinilai sebagai kompromi penuh server dan diperiksa potensi dampak lanjutannya.
Sumber: N-able – Critical N-central Security Update
