Triagem de IoC de Comprometimento do N-central

Kit de ferramentas defensivo de hunting somente leitura para artefatos de pós-exploração associados às vulnerabilidades de bypass de autenticação do N-able N-central CVE-2026-18556 e CVE-2026-18577. O scanner de endpoint em PowerShell sinaliza indicadores publicados pela N-able e pela Huntress; ele nunca corrige nem modifica o host.

Fontes

Aviso do fornecedor	N-able — N-central Security Update (August 4, 2026)
Template de detecção	N-able developer recipe — CVE-2026-18577 detection
Pesquisa independente	Huntress — Critical N-able N-central Vulnerability and Active Exploitation
Build não afetado	N-central 2026.3.1.7
Plataforma	Windows PowerShell 5.1+ (elevado)

Vários IPs de atacantes publicados são nós de saída de VPNs comerciais (NordVPN / Mullvad). Uma correspondência de IP isolada não é prova de comprometimento — correlacione com o horário da sessão de Take Control, a identidade do visualizador, o histórico de tickets e os artefatos de persistência no endpoint.

Início rápido

Execute uma sessão elevada do PowerShell em um endpoint Windows gerenciado:

Set-ExecutionPolicy -Scope Process Bypass
.\scripts\Hunt-NcentralCompromise.ps1

Retrospectiva mais curta e exportação CSV:

.\scripts\Hunt-NcentralCompromise.ps1 -RecentDays 7 -CsvPath .\findings.csv

Enviar a partir de um RMM (iocs.json deve estar ao lado do diretório scripts, ou passar -IocFile):

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\scripts\Hunt-NcentralCompromise.ps1 -OutputPath C:\Windows\Temp\ncentral-scan.json

Direitos administrativos são necessários para cobertura total. Sem eles, o scanner encerra com 2; passe -AllowNonElevated para aceitar cobertura reduzida.

O que é verificado

Verificação	Descrição
Serviços Cloudflared	Nome exato do serviço Cloudflared, linhas de comando que invocam cloudflared.exe e serviços no estilo de túnel iniciados a partir de perfis de usuário, ProgramData ou Temp
Processos Cloudflared	Processos em execução cujo image/linha de comando se assemelha ao Cloudflare Tunnel
Documents svchost	Documents\svchost.exe sob perfis de usuário locais (pivot publicado pela N-able)
Logs do Take Control	BASupSrvc_*.log* / BASupTSHelper_*.log* recentes sob C:\ProgramData\GetSupportService_N-Central\Logs\ (recursivo), transmitidos na íntegra — incluindo logs rotacionados .gz — para IPs/domínios de IOC
Eventos de aplicação	IDs de evento 4102, 8192 e 8193, incluindo tríades próximas e mensagens que mencionam MSP Support / IPs publicados

Opções

-IocFile PATH                         alternate IoC JSON (default ..\iocs.json)
-RecentDays N                         lookback for logs/events (default from IoCs)
-EventCorrelationWindowMinutes N      triad clustering window (default 15)
-MaxLogScanBytes N                    per-log content-scan cap (default 64 MB)
-SkipServices / -SkipLogs / -SkipEvents / -SkipDocuments
-AllowNonElevated                     continue with reduced coverage when not admin
-OutputPath PATH                      JSON report path
-CsvPath PATH                         optional CSV export
-PassThru                             emit finding objects to the pipeline

Testes

Install-Module Pester -MinimumVersion 5.5.0 -Scope CurrentUser -Force -SkipPublisherCheck
.\tests\Invoke-Tests.ps1

A suíte é somente leitura, não requer elevação e é executada inteiramente contra fixtures sintéticos em TestDrive:.

Saída e interpretação

Os achados são valores [PSCustomObject] com Severity, ArtifactType, Details, Timestamp, Target, ComputerName e Evidence. Um relatório JSON com carimbo de data/hora é gravado por padrão.

Código de saída	Significado
0	Nenhum achado Critical ou High
1	Um ou mais achados Critical ou High
2	Erro fatal do scanner (IoCs ausentes ou malformados, sem elevação, falha inesperada)

Significado de achado positivo: evidência consistente com tradecraft publicada foi observada e deve ser investigada. O uso legítimo do MSP Take Control e instalações autorizadas do cloudflared podem se sobrepor — trate itens Medium/Info como contexto, a menos que estejam correlacionados com infraestrutura de IOC ou sessões não explicadas.

Estrutura do projeto

iocs.json                                    machine-readable indicators
scripts/Hunt-NcentralCompromise.ps1          Windows endpoint hunter
tests/Hunt-NcentralCompromise.Tests.ps1      Pester 5 suite
tests/Invoke-Tests.ps1                       test runner
docs/ncentral-compromise-iocs.md             human-readable IoC notes
docs/script-reference.md                     CLI / schema / exit codes

Documentação

• Notas de IoC
• Referência do script
• Contribuição
• Guia do agente

Licença

MIT — consulte LICENSE.