Incidente de seguridad en N-central
La empresa N-able ha informado que atacantes explotaron una vulnerabilidad de autenticación en su plataforma de monitoreo remoto N-central, logrando acceso administrativo y comprometiendo sistemas de clientes gestionados. El parche inicial distribuido por la compañía no fue suficiente, y una nueva vulnerabilidad, identificada como CVE-2026-18577, afecta a versiones anteriores a la 2026.3.1.7, lanzada el 2 de agosto como la primera versión segura.
Método de ataque y persistencia
N-central es una solución RMM utilizada por proveedores de servicios gestionados (MSP) y equipos de TI para administrar endpoints de clientes. Tras comprometer un servidor N-central, los atacantes usaron la herramienta 'Take Control' para acceder a los endpoints gestionados y crearon túneles de Cloudflare como servicios en esos dispositivos. Estos túneles se conectan de forma saliente al edge de Cloudflare, por lo que no requieren reglas de firewall de entrada ni puertos abiertos. Al ejecutarse como servicios, pueden sobrevivir a reinicios del sistema.
N-able indicó que los túneles mantenían el acceso incluso después de revocar la ruta a través del servidor N-central. No hay evidencia de que Cloudflare haya sido comprometido; los atacantes abusaron de su servicio. La compañía instó a todos los clientes a actualizar a la versión 2026.3.1.7, ya que la actualización a 2026.3, inicialmente recomendada, no es suficiente. Las instancias alojadas (NCOD) se actualizarán automáticamente según un cronograma comunicado a los socios, mientras que los servidores autoalojados deben ser actualizados por el cliente.
Respuesta y recomendaciones de N-able
Si los clientes encuentran evidencia de compromiso, también deben buscar y eliminar servicios de túnel maliciosos de los endpoints gestionados, porque la actualización de N-central no elimina la persistencia instalada en otras máquinas. N-able comenzó la investigación el 31 de julio tras detectar un volumen inusual de errores de licencia en clientes on-premises. Descubrió que un atacante obtuvo acceso administrativo remoto a servidores que ejecutaban versiones 2026.1 y anteriores. La empresa identificó y contactó a un número limitado de clientes afectados, pero no proporcionó una cifra exacta.
La primera vulnerabilidad, CVE-2026-18556, se describe como una 'toma de control de cuenta administrativa no autenticada' y se clasifica como una omisión de autenticación a través de una ruta o canal alternativo (CWE-288). N-able asignó una puntuación CVSS 4.0 de 8.2 a ambas vulnerabilidades. Sin embargo, ninguno de los registros identifica el endpoint o la secuencia de solicitudes vulnerables, y la empresa no ha publicado detalles del código raíz. El Centro de Seguridad Cibernética de Finlandia emitió un aviso el 2 de agosto indicando que todas las versiones anteriores al parche de emergencia eran vulnerables.
Indicadores de compromiso y acciones de Huntress
N-able publicó seis direcciones IP observadas en los ataques: 173[.]249[.]252[.]200, 87[.]249[.]138[.]34, 37[.]19[.]210[.]32, 37[.]153[.]90[.]88, 92[.]118[.]112[.]181 y 68[.]235[.]46[.]214. Huntress, firma de seguridad, identificó cuatro de estas direcciones como nodos de salida de Mullvad o NordVPN, sugiriendo que los atacantes usaron VPN para anonimizar sus acciones. Huntress recomendó correlacionar estas IP con los registros de N-central, red y endpoints.
N-able también indicó a los clientes que buscaran archivos svchost.exe en las carpetas de Documents de los usuarios, servicios llamados 'Cloudflared' o tráfico proveniente de las IP publicadas. Aquellos que encuentren estos indicadores deben contactar al soporte y activar sus equipos de seguridad. Huntress, en una respuesta rápida publicada el 3 de agosto, informó haber observado explotación en una organización en su base de clientes y reveló tres dominios de atacantes: mousears.synology[.]me, wagoosh.direct.quickconnect[.]to y who-ripped-one.direct.quickconnect[.]to.
Huntress aclaró que la actividad involucraba una instancia N-central autoalojada en una cuenta de socio. Los atacantes accedieron a nueve organizaciones bajo esa cuenta, alcanzando un endpoint en cada una. Según la evidencia disponible, la actividad posterior al compromiso se limitó a enumerar los procesos en ejecución antes de que los atacantes se desconectaran. Huntress no observó la instalación de Cloudflare que N-able describió en su notificación original.
Detección y recomendaciones adicionales
Para detectar actividad no autorizada de Take Control, Huntress recomendó revisar el archivo ui_access_control.log y correlacionarlo con C:ProgramDataGetSupportService_N-CentralLogsBASupSrvc_*.log.gz en endpoints Windows. Sin embargo, la presencia de estos registros no es prueba de compromiso, ya que también aparecen durante el uso legítimo. También se aconsejó investigar sesiones asociadas con identidades de soporte aparentes de N-able, como mspsupport@n-able.com.
N-able no ha revelado el número o las identidades de los clientes afectados, cuántos dispositivos downstream fueron alcanzados, cuándo comenzó la explotación, quién está detrás del ataque o si se robaron datos. The Hacker News se ha puesto en contacto con N-able para obtener aclaraciones sobre el alcance del incidente y el parche incompleto, y la historia se actualizará con cualquier respuesta.
Deja una respuesta