Исследователи huntback обнаружили майнинг Monero на 21 рабочем сервере N-central, причём 19 из них показывали версию с экстренным исправлением HF2, выпущенным 10 ноября. В отчёте от 12 ноября описана эксплуатация новой цепочки 4EverAble2Shell. N-central используют IT-подрядчики для удалённого управления компьютерами и сетями заказчиков: захваченный сервер даёт атакующему опасную точку доступа к такой инфраструктуре.

Подсчёт основан на открытой статистике майнингового пула. В названиях 21 активного майнера были IP-адреса; исследователи проверили их и обнаружили N-central. Это наблюдаемая группа серверов одного оператора, а не полный масштаб заражения. На собственных ловушках huntback зафиксировала запросы с установкой майнера уже примерно через пять часов после публикации демонстрационного кода.

Цепочка позволяет без пароля выполнить команды через компонент Apache Axis, а затем получить права root — системного администратора. Но для неё нужен включённый Legacy API, старый программный интерфейс, доступный из интернета. Huntress уточнила, что серверы с HF2 и отключённым Legacy API этой цепочке не подвержены. По переданному Huntress сообщению N-able, собственная облачная версия поставщика также не затронута; клиентам с самостоятельными установками рекомендовано отключить этот интерфейс.

Ранее N-able останавливала облачную платформу после первого раскрытия Able2Shell. Затем компания выпустила HF2 и вернула облачные серверы в работу. Новые наблюдения показывают, что одного этого обновления при включённом Legacy API недостаточно. В кампании huntback обнаружила установку майнера; кража данных и взлом подключённых клиентских компьютеров в этом отчёте не установлены.