N-central Compromise IoC Triage

N-able N-central प्रमाणीकरण बायपास कमज़ोरियों CVE-2026-18556 और CVE-2026-18577 से जुड़े पोस्ट-एक्सप्लॉइटेशन आर्टिफैक्ट्स के लिए रीड-ओनली डिफेंसिव हंटिंग टूलकिट। PowerShell एंडपॉइंट स्कैनर N-able और Huntress द्वारा प्रकाशित संकेतकों को फ़्लैग करता है; यह कभी भी होस्ट को रेमेडिएट या संशोधित नहीं करता।

स्रोत

विक्रेता सलाह	N-able — N-central Security Update (August 4, 2026)
डिटेक्शन टेम्पलेट	N-able developer recipe — CVE-2026-18577 detection
स्वतंत्र शोध	Huntress — Critical N-able N-central Vulnerability and Active Exploitation
अप्रभावित बिल्ड	N-central 2026.3.1.7
प्लेटफ़ॉर्म	Windows PowerShell 5.1+ (एलिवेटेड)

कई प्रकाशित हमलावर IPs व्यावसायिक VPN एग्ज़िट नोड्स (NordVPN / Mullvad) हैं। केवल IP मिलान ही समझौते का प्रमाण नहीं है — इसे Take Control सत्र समय, व्यूअर पहचान, टिकट इतिहास, और एंडपॉइंट पर्सिस्टेंस आर्टिफैक्ट्स के साथ सहसंबंधित करें।

त्वरित शुरुआत

किसी प्रबंधित Windows एंडपॉइंट पर एक एलिवेटेड PowerShell सत्र चलाएँ:

Set-ExecutionPolicy -Scope Process Bypass
.\scripts\Hunt-NcentralCompromise.ps1

छोटी लुकबैक और CSV निर्यात:

.\scripts\Hunt-NcentralCompromise.ps1 -RecentDays 7 -CsvPath .\findings.csv

RMM से पुश करें (iocs.json को scripts निर्देशिका के बगल में होना चाहिए, या -IocFile पास करें):

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\scripts\Hunt-NcentralCompromise.ps1 -OutputPath C:\Windows\Temp\ncentral-scan.json

पूर्ण कवरेज के लिए प्रशासनिक अधिकार आवश्यक हैं। इनके बिना स्कैनर 2 के साथ बाहर निकल जाता है; इसके बजाय कम कवरेज स्वीकार करने के लिए -AllowNonElevated पास करें।

क्या जाँचा जाता है

जाँच	विवरण
Cloudflared सेवाएँ	सटीक सेवा नाम Cloudflared, cloudflared.exe को आमंत्रित करने वाली कमांड लाइनें, और उपयोगकर्ता प्रोफ़ाइल, ProgramData, या Temp से लॉन्च होने वाली टनल-शैली की सेवाएँ
Cloudflared प्रक्रियाएँ	चल रही प्रक्रियाएँ जिनकी इमेज/कमांड लाइन Cloudflare Tunnel जैसी दिखती है
Documents svchost	स्थानीय उपयोगकर्ता प्रोफ़ाइल के अंतर्गत Documents\svchost.exe (N-able द्वारा प्रकाशित pivot)
Take Control लॉग	C:\ProgramData\GetSupportService_N-Central\Logs\ के अंतर्गत हाल के BASupSrvc_*.log* / BASupTSHelper_*.log* (पुनरावर्ती), पूर्ण रूप से स्ट्रीम किए गए — रोल किए गए .gz लॉग सहित — IOC IPs/डोमेन के लिए
एप्लिकेशन इवेंट	इवेंट ID 4102, 8192, और 8193, जिनमें निकट-निकट त्रिक और MSP Support / प्रकाशित IPs का उल्लेख करने वाले संदेश शामिल हैं

विकल्प

-IocFile PATH                         alternate IoC JSON (default ..\iocs.json)
-RecentDays N                         lookback for logs/events (default from IoCs)
-EventCorrelationWindowMinutes N      triad clustering window (default 15)
-MaxLogScanBytes N                    per-log content-scan cap (default 64 MB)
-SkipServices / -SkipLogs / -SkipEvents / -SkipDocuments
-AllowNonElevated                     continue with reduced coverage when not admin
-OutputPath PATH                      JSON report path
-CsvPath PATH                         optional CSV export
-PassThru                             emit finding objects to the pipeline

परीक्षण

Install-Module Pester -MinimumVersion 5.5.0 -Scope CurrentUser -Force -SkipPublisherCheck
.\tests\Invoke-Tests.ps1

यह सूट read-only है, इसे elevation की आवश्यकता नहीं है, और यह पूरी तरह से TestDrive: के अंतर्गत synthetic fixtures पर चलता है।

आउटपुट और व्याख्या

Findings [PSCustomObject] मान होते हैं जिनमें Severity, ArtifactType, Details, Timestamp, Target, ComputerName, और Evidence शामिल होते हैं। डिफ़ॉल्ट रूप से एक timestamped JSON रिपोर्ट लिखी जाती है।

Exit code	अर्थ
0	कोई Critical या High finding नहीं
1	एक या अधिक Critical या High findings
2	घातक scanner त्रुटि (IoCs अनुपस्थित या विकृत, elevated नहीं, अप्रत्याशित विफलता)

Positive finding का अर्थ: प्रकाशित tradecraft के अनुरूप साक्ष्य देखा गया है और इसकी जाँच की जानी चाहिए। वैध MSP Take Control उपयोग और अधिकृत cloudflared इंस्टॉल्स ओवरलैप हो सकते हैं — Medium/Info आइटम्स को संदर्भ के रूप में मानें जब तक कि उन्हें IOC infrastructure या अस्पष्टीकृत sessions के साथ सहसंबद्ध न किया जाए।

प्रोजेक्ट लेआउट

iocs.json                                    machine-readable indicators
scripts/Hunt-NcentralCompromise.ps1          Windows endpoint hunter
tests/Hunt-NcentralCompromise.Tests.ps1      Pester 5 suite
tests/Invoke-Tests.ps1                       test runner
docs/ncentral-compromise-iocs.md             human-readable IoC notes
docs/script-reference.md                     CLI / schema / exit codes

दस्तावेज़ीकरण

• IoC नोट्स
• स्क्रिप्ट संदर्भ
• योगदान
• एजेंट गाइड

लाइसेंस

MIT — देखें LICENSE।