creamyg31337/ncentral-compromise-ioc-triageWindows エンドポイント向けの読み取り専用 N-able N-central CVE-2026-18556/CVE-2026-18577 ポストエクスプロイテーション IoC ハンター
N-able N-central の認証バイパス脆弱性 CVE-2026-18556 および CVE-2026-18577 に関連する侵害後アーティファクトを対象とした、読み取り専用の防御的ハンティングツールキット。PowerShell エンドポイントスキャナーは N-able と Huntress が公開したインジケーターを検出しますが、ホストの修復や変更は一切行いません。
| ベンダーアドバイザリ | N-able — N-central Security Update (August 4, 2026) |
| 検出テンプレート | N-able developer recipe — CVE-2026-18577 detection |
| 独立系調査 | Huntress — Critical N-able N-central Vulnerability and Active Exploitation |
| 影響を受けないビルド | N-central 2026.3.1.7 |
| プラットフォーム | Windows PowerShell 5.1+ (管理者権限) |
公開されている攻撃者 IP のいくつかは商用 VPN の出口ノード (NordVPN / Mullvad) です。IP の一致だけでは侵害の証拠にはなりません — Take Control セッションのタイミング、ビューアの識別情報、チケット履歴、エンドポイントの永続化アーティファクトと照合してください。
管理対象の Windows エンドポイントで管理者権限の PowerShell セッションを実行します:
Set-ExecutionPolicy -Scope Process Bypass
.\scripts\Hunt-NcentralCompromise.ps1
ルックバック期間を短縮し、CSV エクスポート:
.\scripts\Hunt-NcentralCompromise.ps1 -RecentDays 7 -CsvPath .\findings.csv
RMM からプッシュする場合（iocs.json は scripts ディレクトリの隣に置くか、-IocFile を渡す必要があります）：
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\scripts\Hunt-NcentralCompromise.ps1 -OutputPath C:\Windows\Temp\ncentral-scan.json
完全なカバレッジには管理者権限が必要です。管理者権限がない場合、スキャナは 2 で終了します。代わりに -AllowNonElevated を渡すことで、縮小されたカバレッジを受け入れることができます。
| チェック | 説明 |
|---|---|
| Cloudflared サービス | 完全なサービス名 Cloudflared、cloudflared.exe を呼び出すコマンドライン、およびユーザープロファイル、ProgramData、または Temp から起動されるトンネル形式のサービス |
| Cloudflared プロセス | イメージ/コマンドラインが Cloudflare Tunnel に似ている実行中のプロセス |
| Documents 内の svchost | ローカルユーザープロファイル配下の Documents\svchost.exe（N-able が公開したピボット） |
| Take Control ログ | C:\ProgramData\GetSupportService_N-Central\Logs\ 配下（再帰的）の最近の BASupSrvc_*.log* / BASupTSHelper_*.log* を完全にストリーミング（ローテーションされた .gz ログを含む）し、IOC の IP/ドメインを検査 |
| アプリケーションイベント | イベント ID 4102、8192、8193（時間的に近接した三連イベントや、MSP Support / 公開 IP に言及するメッセージを含む） |
-IocFile PATH alternate IoC JSON (default ..\iocs.json)
-RecentDays N lookback for logs/events (default from IoCs)
-EventCorrelationWindowMinutes N triad clustering window (default 15)
-MaxLogScanBytes N per-log content-scan cap (default 64 MB)
-SkipServices / -SkipLogs / -SkipEvents / -SkipDocuments
-AllowNonElevated continue with reduced coverage when not admin
-OutputPath PATH JSON report path
-CsvPath PATH optional CSV export
-PassThru emit finding objects to the pipeline
Install-Module Pester -MinimumVersion 5.5.0 -Scope CurrentUser -Force -SkipPublisherCheck
.\tests\Invoke-Tests.ps1
スイートは読み取り専用で、昇格は不要であり、TestDrive: 配下の合成フィクスチャに対して完全に実行されます。
検出結果は Severity、ArtifactType、Details、Timestamp、Target、ComputerName、Evidence を持つ [PSCustomObject] 値です。タイムスタンプ付きの JSON レポートがデフォルトで書き出されます。
| 終了コード | 意味 |
|---|---|
0 | Critical または High の検出結果なし |
1 | 1 件以上の Critical または High の検出結果 |
2 | 致命的なスキャナーエラー（IoCs の欠落または不正、非昇格、予期しない失敗） |
ポジティブ検出の意味: 公開された tradecraft と一致する証拠が観測されたため、調査すべきです。正当な MSP Take Control の使用と承認された cloudflared のインストールは重複する可能性があります。IOC インフラストラクチャや説明のつかないセッションと相関しない限り、Medium/Info 項目はコンテキストとして扱ってください。
iocs.json machine-readable indicators
scripts/Hunt-NcentralCompromise.ps1 Windows endpoint hunter
tests/Hunt-NcentralCompromise.Tests.ps1 Pester 5 suite
tests/Invoke-Tests.ps1 test runner
docs/ncentral-compromise-iocs.md human-readable IoC notes
docs/script-reference.md CLI / schema / exit codes
MIT — LICENSE を参照してください。