creamyg31337/ncentral-compromise-ioc-triageWindows 엔드포인트용 읽기 전용 N-able N-central CVE-2026-18556/CVE-2026-18577 포스트 익스플로잇 IoC 헌터
N-able N-central 인증 우회 취약점 CVE-2026-18556 및 CVE-2026-18577와 관련된 침해 후 아티팩트를 위한 읽기 전용 방어적 헌팅 툴킷입니다. PowerShell 엔드포인트 스캐너는 N-able과 Huntress가 공개한 지표를 탐지하며, 호스트를 치료하거나 수정하지 않습니다.
| 벤더 권고 | N-able — N-central 보안 업데이트 (2026년 8월 4일) |
| 탐지 템플릿 | N-able 개발자 레시피 — CVE-2026-18577 탐지 |
| 독립 연구 | Huntress — 치명적인 N-able N-central 취약점 및 활발한 익스플로잇 |
| 영향받지 않는 빌드 | N-central 2026.3.1.7 |
| 플랫폼 | Windows PowerShell 5.1+ (관리자 권한) |
공개된 공격자 IP 중 다수는 상용 VPN 출구 노드(NordVPN / Mullvad)입니다. IP 일치만으로는 침해의 증거가 되지 않습니다. Take Control 세션 타이밍, 뷰어 신원, 티켓 이력, 엔드포인트 지속성 아티팩트와 함께 상호 연관지어 확인하십시오.
관리되는 Windows 엔드포인트에서 관리자 권한 PowerShell 세션을 실행하십시오:
Set-ExecutionPolicy -Scope Process Bypass
.\scripts\Hunt-NcentralCompromise.ps1
더 짧은 조회 기간과 CSV 내보내기:
.\scripts\Hunt-NcentralCompromise.ps1 -RecentDays 7 -CsvPath .\findings.csv
RMM에서 푸시 (iocs.json은 scripts 디렉터리 옆에 있어야 하거나,
-IocFile을 전달):
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\scripts\Hunt-NcentralCompromise.ps1 -OutputPath C:\Windows\Temp\ncentral-scan.json
전체 검사를 위해서는 관리자 권한이 필요합니다. 관리자 권한이 없으면 스캐너는 종료 코드 2로 종료됩니다. 대신 축소된 검사 범위를 수용하려면 -AllowNonElevated를 전달하십시오.
| 검사 | 설명 |
|---|---|
| Cloudflared 서비스 | 정확한 서비스 이름 Cloudflared, cloudflared.exe를 호출하는 명령줄, 그리고 사용자 프로필, ProgramData, 또는 Temp에서 실행되는 터널 방식 서비스 |
| Cloudflared 프로세스 | 이미지/명령줄이 Cloudflare Tunnel과 유사한 실행 중인 프로세스 |
| Documents svchost | 로컬 사용자 프로필 아래의 Documents\svchost.exe (N-able 공개 피벗) |
| Take Control 로그 | C:\ProgramData\GetSupportService_N-Central\Logs\ 아래의 최근 BASupSrvc_*.log* / BASupTSHelper_*.log* (재귀적), 롤링된 .gz 로그를 포함하여 전체를 스트리밍하여 IOC IP/도메인 검사 |
| 애플리케이션 이벤트 | 이벤트 ID 4102, 8192, 8193, 시간상 근접한 삼중 이벤트 및 MSP Support / 공개 IP를 언급하는 메시지 포함 |
-IocFile PATH alternate IoC JSON (default ..\iocs.json)
-RecentDays N lookback for logs/events (default from IoCs)
-EventCorrelationWindowMinutes N triad clustering window (default 15)
-MaxLogScanBytes N per-log content-scan cap (default 64 MB)
-SkipServices / -SkipLogs / -SkipEvents / -SkipDocuments
-AllowNonElevated continue with reduced coverage when not admin
-OutputPath PATH JSON report path
-CsvPath PATH optional CSV export
-PassThru emit finding objects to the pipeline
Install-Module Pester -MinimumVersion 5.5.0 -Scope CurrentUser -Force -SkipPublisherCheck
.\tests\Invoke-Tests.ps1
이 제품군은 읽기 전용이며 권한 상승이 필요 없고, 전적으로 TestDrive: 아래의 합성 픽스처를 대상으로 실행됩니다.
탐지 결과는 Severity, ArtifactType, Details, Timestamp, Target, ComputerName, Evidence 필드를 가진 [PSCustomObject] 값입니다. 기본적으로 타임스탬프가 포함된 JSON 보고서가 작성됩니다.
| 종료 코드 | 의미 |
|---|---|
0 | Critical 또는 High 탐지 결과 없음 |
1 | 하나 이상의 Critical 또는 High 탐지 결과 존재 |
2 | 치명적 스캐너 오류 (IoCs 누락 또는 형식 오류, 권한 상승되지 않음, 예기치 않은 실패) |
긍정적 탐지 결과의 의미: 공개된 공격 기법(tradecraft)과 일치하는 증거가 관찰되었으며 조사가 필요하다는 뜻입니다. 정당한 MSP Take Control 사용과 승인된 cloudflared 설치가 겹칠 수 있으므로, IOC 인프라나 설명되지 않는 세션과 연관되지 않는 한 Medium/Info 항목은 맥락 정보로 취급하십시오.
iocs.json machine-readable indicators
scripts/Hunt-NcentralCompromise.ps1 Windows endpoint hunter
tests/Hunt-NcentralCompromise.Tests.ps1 Pester 5 suite
tests/Invoke-Tests.ps1 test runner
docs/ncentral-compromise-iocs.md human-readable IoC notes
docs/script-reference.md CLI / schema / exit codes
MIT — LICENSE를 참조하세요.