Triaje de IoC de compromiso de N-central

Kit de herramientas de búsqueda defensiva de solo lectura para artefactos de post-explotación asociados con las vulnerabilidades de omisión de autenticación de N-able N-central CVE-2026-18556 y CVE-2026-18577. El escáner de endpoints en PowerShell marca los indicadores publicados por N-able y Huntress; nunca aplica remediación ni modifica el host.

Fuentes

Aviso del proveedor	N-able — N-central Security Update (August 4, 2026)
Plantilla de detección	N-able developer recipe — CVE-2026-18577 detection
Investigación independiente	Huntress — Critical N-able N-central Vulnerability and Active Exploitation
Compilación no afectada	N-central 2026.3.1.7
Plataforma	Windows PowerShell 5.1+ (elevado)

Varias de las IPs de atacantes publicadas son nodos de salida de VPN comerciales (NordVPN / Mullvad). Una coincidencia de IP por sí sola no es prueba de compromiso: correlaciónela con la cronología de la sesión de Take Control, la identidad del visor, el historial de tickets y los artefactos de persistencia en el endpoint.

Inicio rápido

Ejecute una sesión de PowerShell elevada en un endpoint Windows administrado:

Set-ExecutionPolicy -Scope Process Bypass
.\scripts\Hunt-NcentralCompromise.ps1

Ventana retrospectiva más corta y exportación a CSV:

.\scripts\Hunt-NcentralCompromise.ps1 -RecentDays 7 -CsvPath .\findings.csv

Push desde un RMM (iocs.json debe estar junto al directorio scripts, o pasar -IocFile):

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\scripts\Hunt-NcentralCompromise.ps1 -OutputPath C:\Windows\Temp\ncentral-scan.json

Se requieren derechos administrativos para una cobertura completa. Sin ellos, el escáner sale con 2; pase -AllowNonElevated para aceptar una cobertura reducida en su lugar.

Qué se comprueba

Comprobación	Descripción
Servicios de Cloudflared	Nombre de servicio exacto Cloudflared, líneas de comando que invocan cloudflared.exe, y servicios de estilo túnel que se lanzan desde perfiles de usuario, ProgramData o Temp
Procesos de Cloudflared	Procesos en ejecución cuya imagen/línea de comando se asemeja a Cloudflare Tunnel
svchost en Documents	Documents\svchost.exe bajo perfiles de usuario locales (pivote publicado por N-able)
Registros de Take Control	BASupSrvc_*.log* / BASupTSHelper_*.log* recientes bajo C:\ProgramData\GetSupportService_N-Central\Logs\ (recursivo), transmitidos en su totalidad —incluidos los registros rotados .gz— en busca de IPs/dominios IOC
Eventos de aplicación	IDs de evento 4102, 8192 y 8193, incluidos tríos muy próximos entre sí y mensajes que mencionan MSP Support / IPs publicadas

Opciones

-IocFile PATH                         alternate IoC JSON (default ..\iocs.json)
-RecentDays N                         lookback for logs/events (default from IoCs)
-EventCorrelationWindowMinutes N      triad clustering window (default 15)
-MaxLogScanBytes N                    per-log content-scan cap (default 64 MB)
-SkipServices / -SkipLogs / -SkipEvents / -SkipDocuments
-AllowNonElevated                     continue with reduced coverage when not admin
-OutputPath PATH                      JSON report path
-CsvPath PATH                         optional CSV export
-PassThru                             emit finding objects to the pipeline

Pruebas

Install-Module Pester -MinimumVersion 5.5.0 -Scope CurrentUser -Force -SkipPublisherCheck
.\tests\Invoke-Tests.ps1

La suite es de solo lectura, no requiere elevación y se ejecuta completamente contra fixtures sintéticos bajo TestDrive:.

Salida e interpretación

Los hallazgos son valores [PSCustomObject] con Severity, ArtifactType, Details, Timestamp, Target, ComputerName y Evidence. Por defecto se escribe un informe JSON con marca de tiempo.

Código de salida	Significado
0	Sin hallazgos Críticos ni Altos
1	Uno o más hallazgos Críticos o Altos
2	Error fatal del escáner (IoCs ausentes o malformados, sin elevación, fallo inesperado)

Significado de un hallazgo positivo: se observó evidencia consistente con las técnicas publicadas y debe investigarse. El uso legítimo de MSP Take Control y las instalaciones autorizadas de cloudflared pueden solaparse — trate los elementos Medium/Info como contexto a menos que se correlacionen con infraestructura IOC o sesiones no explicadas.

Estructura del proyecto

iocs.json                                    machine-readable indicators
scripts/Hunt-NcentralCompromise.ps1          Windows endpoint hunter
tests/Hunt-NcentralCompromise.Tests.ps1      Pester 5 suite
tests/Invoke-Tests.ps1                       test runner
docs/ncentral-compromise-iocs.md             human-readable IoC notes
docs/script-reference.md                     CLI / schema / exit codes

Documentación

• Notas de IoC
• Referencia del script
• Contribuir
• Guía del agente

Licencia

MIT — consulte LICENSE.