creamyg31337/ncentral-compromise-ioc-triageSchreibgeschützter N-able N-central CVE-2026-18556/CVE-2026-18577 Post-Exploitation-IoC-Hunter für Windows-Endpunkte
Read-only Defensive-Hunting-Toolkit für Post-Exploitation-Artefakte im Zusammenhang mit N-able N-central-Authentifizierungs-Bypass-Schwachstellen CVE-2026-18556 und CVE-2026-18577. Der PowerShell-Endpoint-Scanner markiert Indikatoren, die von N-able und Huntress veröffentlicht wurden; er behebt oder verändert den Host niemals.
| Herstellerhinweis | N-able — N-central Security Update (August 4, 2026) |
| Erkennungsvorlage | N-able developer recipe — CVE-2026-18577 detection |
| Unabhängige Forschung | Huntress — Critical N-able N-central Vulnerability and Active Exploitation |
| Nicht betroffener Build | N-central 2026.3.1.7 |
| Plattform | Windows PowerShell 5.1+ (erhöht) |
Mehrere veröffentlichte Angreifer-IPs sind kommerzielle VPN-Exit-Nodes (NordVPN / Mullvad). Ein reiner IP-Treffer ist kein Beweis für eine Kompromittierung — korrelieren Sie ihn mit dem Timing der Take-Control-Sitzung, der Viewer-Identität, dem Ticket-Verlauf und Endpoint-Persistenz-Artefakten.
Führen Sie eine erhöhte PowerShell-Sitzung auf einem verwalteten Windows-Endpoint aus:
Set-ExecutionPolicy -Scope Process Bypass
.\scripts\Hunt-NcentralCompromise.ps1
Kürzerer Rückblick und CSV-Export:
.\scripts\Hunt-NcentralCompromise.ps1 -RecentDays 7 -CsvPath .\findings.csv
Push von einem RMM aus (iocs.json muss neben dem Verzeichnis scripts liegen, oder -IocFile übergeben):
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\scripts\Hunt-NcentralCompromise.ps1 -OutputPath C:\Windows\Temp\ncentral-scan.json
Für vollständige Abdeckung sind Administratorrechte erforderlich. Ohne diese
beendet der Scanner den Vorgang mit 2; übergeben Sie -AllowNonElevated, um stattdessen eine reduzierte Abdeckung zu akzeptieren.
| Prüfung | Beschreibung |
|---|---|
| Cloudflared-Dienste | Exakter Dienstname Cloudflared, Befehlszeilen, die cloudflared.exe aufrufen, sowie tunnelartige Dienste, die aus Benutzerprofilen, ProgramData oder Temp gestartet werden |
| Cloudflared-Prozesse | Laufende Prozesse, deren Image/Befehlszeile wie Cloudflare Tunnel aussieht |
| Documents svchost | Documents\svchost.exe unter lokalen Benutzerprofilen (von N-able veröffentlichter Pivot) |
| Take Control-Protokolle | Aktuelle BASupSrvc_*.log* / BASupTSHelper_*.log* unter C:\ProgramData\GetSupportService_N-Central\Logs\ (rekursiv), vollständig gestreamt — einschließlich rotierter .gz-Protokolle — auf IOC-IPs/-Domains |
| Anwendungsereignisse | Ereignis-IDs 4102, 8192 und 8193, einschließlich kurz aufeinanderfolgender Triaden und Meldungen, die MSP Support / veröffentlichte IPs erwähnen |
-IocFile PATH alternate IoC JSON (default ..\iocs.json)
-RecentDays N lookback for logs/events (default from IoCs)
-EventCorrelationWindowMinutes N triad clustering window (default 15)
-MaxLogScanBytes N per-log content-scan cap (default 64 MB)
-SkipServices / -SkipLogs / -SkipEvents / -SkipDocuments
-AllowNonElevated continue with reduced coverage when not admin
-OutputPath PATH JSON report path
-CsvPath PATH optional CSV export
-PassThru emit finding objects to the pipeline
Install-Module Pester -MinimumVersion 5.5.0 -Scope CurrentUser -Force -SkipPublisherCheck
.\tests\Invoke-Tests.ps1
Die Suite ist schreibgeschützt, benötigt keine erhöhten Rechte und läuft vollständig gegen synthetische Fixtures unter TestDrive:.
Befunde sind [PSCustomObject]-Werte mit Severity, ArtifactType, Details, Timestamp, Target, ComputerName und Evidence. Standardmäßig wird ein JSON-Bericht mit Zeitstempel geschrieben.
| Exit-Code | Bedeutung |
|---|---|
0 | Keine Critical- oder High-Befunde |
1 | Ein oder mehrere Critical- oder High-Befunde |
2 | Fataler Scannerfehler (fehlende oder fehlerhafte IoCs, keine erhöhten Rechte, unerwarteter Fehler) |
Bedeutung eines positiven Befunds: Es wurden Hinweise beobachtet, die mit veröffentlichten Vorgehensweisen übereinstimmen, und diese sollten untersucht werden. Legitime Nutzung von MSP Take Control und autorisierte cloudflared-Installationen können sich überschneiden — behandeln Sie Medium-/Info-Einträge als Kontext, sofern sie nicht mit IOC-Infrastruktur oder unerklärten Sitzungen korrelieren.
iocs.json machine-readable indicators
scripts/Hunt-NcentralCompromise.ps1 Windows endpoint hunter
tests/Hunt-NcentralCompromise.Tests.ps1 Pester 5 suite
tests/Invoke-Tests.ps1 test runner
docs/ncentral-compromise-iocs.md human-readable IoC notes
docs/script-reference.md CLI / schema / exit codes
MIT — siehe LICENSE.