Warten auf Sicherheitspatch: Krypto-Miner-Attacken auf N-central beobachtet

Admins, welche die Fernüberwachung N-central nutzen, sollten umgehend die Sicherheitshinweise des Anbieters N-able befolgen, um Instanzen vor zurzeit laufenden Attacken zu schützen. Ein weiteres Sicherheitsupdate ist angekündigt, hat sich aber verzögert.

Mit N-central überwachen und verwalten IT-Dienstleister und Admins IT-Systeme in Unternehmen. Ein kompromittierter Server kann Angreifern deshalb Zugriff auf alle darüber verwalteten Kundensysteme geben.

Was ist bislang vorgefallen?

Am 9. November veröffentlichte ein Sicherheitsforscher ohne Vorwarnung Details und Exploit-Code zu zahlreichen Sicherheitslücken in N-central. Wie aus einer stetig aktualisierten Warnmeldung hervorgeht, hat N-able inzwischen mehrere Lücken bestätigt, darunter zwei (CVE-2026-125883, CVE-2026-125881), die mit dem Bedrohungsgrad „kritisch“ eingestuft sind. Durch Kombination mehrerer Lücken können Angreifer ohne Anmeldung Schadcode ausführen und sich anschließend Root-Rechte verschaffen. Danach gelten Systeme in der Regel als vollständig kompromittiert.

Weil es zu dem Zeitpunkt noch keinen Sicherheitspatch gab, nahm N-able seine gehosteten Server vorsorglich vom Netz und riet Betreibern eigener Server ebenfalls dazu. Am 10. November erschien dann Hotfix 2 (HF2) für N-central 2026.4, der die kritischsten Lücken schließt. Am 12. November zeigte sich aber, dass Systeme selbst mit HF2 noch über weitere Angriffspfade wie 4EverAble2Shell attackierbar sind, sofern die Legacy API aktiviert ist.

Laufende Attacken

Noch am selben Tag haben Sicherheitsforscher von Huntback erste Attacken beobachtet. Ihre Erkenntnisse führen sie in einem Bericht aus. Darin schildern sie unter anderem, dass Angreifer Krypto-Miner für Monero auf attackierten Systemen installieren. Sie zählten 21 befallene N-central-Server, 19 davon bereits mit HF2. Wie viele Systeme insgesamt betroffen sind, ist derzeit nicht bekannt.

Mittlerweile hat N-able IP-Adressen und URLs veröffentlicht, an denen Admins bereits erfolgte Attacken erkennen können (Indicators of Compromise, IoC). Sie betreffen nur Instanzen mit aktiver Legacy API, die standardmäßig ausgeschaltet ist. Einen weiteren Hotfix (HF3) wollte N-able eigentlich am Samstag veröffentlichen, hat die Freigabe aber wegen zusätzlicher Prüfungen verschoben.

Bis dahin sollten Admins als Übergangslösung die Legacy API deaktivieren, HF2 installieren und zusätzlich Agents und Probes auf den aktuellen Stand bringen. Bei der gehosteten Version übernimmt N-able das Server-Update, Agents und Probes müssen Kunden aber selbst aktualisieren. Vorsorglich hat N-able zudem die Intune-Integration deaktiviert. Das Deaktivieren der Legacy API unterbindet den 4EverAble2Shell-Angriffspfad, macht aber einen bereits erfolgten Einbruch nicht rückgängig. Finden Admins Spuren eines Angriffs, sollten sie von einer vollständigen Kompromittierung ausgehen.

(des)