creamyg31337/ncentral-compromise-ioc-triageأداة للقراءة فقط لصيد مؤشرات الاختراق (IoC) بعد الاستغلال في N-able N-central CVE-2026-18556/CVE-2026-18577 لنقاط نهاية ويندوز
مجموعة أدوات دفاعية للبحث في آثار ما بعد الاستغلال، تعمل بأسلوب للقراءة فقط، وترتبط بثغرات تجاوز المصادقة في N-able N-central ذات المعرفات CVE-2026-18556 وCVE-2026-18577. يقوم ماسح نقاط النهاية PowerShell بتحديد المؤشرات التي نشرتها N-able وHuntress؛ وهو لا يعالج أو يعدّل المضيف أبدًا.
| إشعار المورّد | N-able — تحديث أمان N-central (4 أغسطس 2026) |
| قالب الكشف | وصفة مطوّري N-able — كشف CVE-2026-18577 |
| بحث مستقل | Huntress — ثغرة N-able N-central الحرجة والاستغلال النشط |
| إصدار غير متأثر | N-central 2026.3.1.7 |
| المنصة | Windows PowerShell 5.1+ (بصلاحيات مرتفعة) |
عدة عناوين IP للمهاجمين المنشورة هي عُقد خروج تجارية لشبكات VPN (NordVPN / Mullvad). تطابق عنوان IP وحده ليس دليلًا على الاختراق — يجب ربطه بتوقيت جلسة Take Control، وهوية المشاهد، وسجل التذاكر، وآثار الاستمرارية على نقطة النهاية.
شغّل جلسة PowerShell بصلاحيات مرتفعة على نقطة نهاية Windows مُدارة:
Set-ExecutionPolicy -Scope Process Bypass
.\scripts\Hunt-NcentralCompromise.ps1
نافذة مراجعة أقصر وتصدير CSV:
.\scripts\Hunt-NcentralCompromise.ps1 -RecentDays 7 -CsvPath .\findings.csv
ادفع من RMM (يجب أن يكون iocs.json بجانب دليل scripts، أو مرّر
-IocFile):
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\scripts\Hunt-NcentralCompromise.ps1 -OutputPath C:\Windows\Temp\ncentral-scan.json
يلزم توفر حقوق إدارية للحصول على تغطية كاملة. بدونها يخرج الماسح بالرمز 2؛ مرّر -AllowNonElevated لقبول تغطية مخفّضة بدلاً من ذلك.
| الفحص | الوصف |
|---|---|
| خدمات Cloudflared | اسم الخدمة الدقيق Cloudflared، وسطور الأوامر التي تستدعي cloudflared.exe، والخدمات على نمط النفق التي تُشغَّل من ملفات تعريف المستخدمين أو ProgramData أو Temp |
| عمليات Cloudflared | العمليات قيد التشغيل التي تبدو صورة/سطر أوامرها مثل Cloudflare Tunnel |
| svchost في Documents | Documents\svchost.exe ضمن ملفات تعريف المستخدمين المحليين (نقطة ارتكاز N-able المنشورة) |
| سجلات Take Control | سجلات BASupSrvc_*.log* / BASupTSHelper_*.log* الحديثة ضمن C:\ProgramData\GetSupportService_N-Central\Logs\ (بشكل تكراري)، تُقرأ بالكامل — بما في ذلك السجلات المُدوَّرة .gz — بحثاً عن عناوين IP/النطاقات الخاصة بمؤشرات الاختراق (IOC) |
| أحداث التطبيقات | معرّفات الأحداث 4102 و8192 و8193، بما في ذلك الثلاثيات المتقاربة زمنياً والرسائل التي تذكر MSP Support / عناوين IP المنشورة |
-IocFile PATH alternate IoC JSON (default ..\iocs.json)
-RecentDays N lookback for logs/events (default from IoCs)
-EventCorrelationWindowMinutes N triad clustering window (default 15)
-MaxLogScanBytes N per-log content-scan cap (default 64 MB)
-SkipServices / -SkipLogs / -SkipEvents / -SkipDocuments
-AllowNonElevated continue with reduced coverage when not admin
-OutputPath PATH JSON report path
-CsvPath PATH optional CSV export
-PassThru emit finding objects to the pipeline
Install-Module Pester -MinimumVersion 5.5.0 -Scope CurrentUser -Force -SkipPublisherCheck
.\tests\Invoke-Tests.ps1
المجموعة للقراءة فقط، ولا تحتاج إلى رفع الصلاحيات، وتعمل بالكامل على
بيانات اختبار اصطناعية تحت TestDrive:.
النتائج هي قيم [PSCustomObject] تتضمن Severity وArtifactType
وDetails وTimestamp وTarget وComputerName وEvidence. يُكتب تقرير
JSON بطابع زمني افتراضيًا.
| رمز الخروج | المعنى |
|---|---|
0 | لا توجد نتائج حرجة أو عالية |
1 | نتيجة حرجة أو عالية واحدة أو أكثر |
2 | خطأ فادح في الماسح الضوئي (مؤشرات اختراق مفقودة أو مشوّهة، أو عدم رفع الصلاحيات، أو فشل غير متوقع) |
معنى النتيجة الإيجابية: لوحظ وجود أدلة متوافقة مع أساليب التكتيك المنشورة ويجب التحقيق فيها. قد يتداخل الاستخدام المشروع لـ MSP Take Control وعمليات تثبيت cloudflared المصرّح بها — تعامل مع عناصر Medium/Info كسياق ما لم تكن مرتبطة ببنية IOC التحتية أو بجلسات غير مبررة.
iocs.json machine-readable indicators
scripts/Hunt-NcentralCompromise.ps1 Windows endpoint hunter
tests/Hunt-NcentralCompromise.Tests.ps1 Pester 5 suite
tests/Invoke-Tests.ps1 test runner
docs/ncentral-compromise-iocs.md human-readable IoC notes
docs/script-reference.md CLI / schema / exit codes
MIT — انظر LICENSE.