¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Servidores N-central con un minero de Monero dentro: 21 equipos reales ya minan para un desconocido, y 19 de ellos llevaban el parche más reciente de N-able. Ayer el caso cerraba con sondeos y ninguna explotación confirmada en clientes. Hoy hay víctimas contadas una a una.
N-central es la consola de supervisión y gestión remota de N-able. Con ella, un proveedor de servicios administrados instala programas, corre guiones y entra a distancia en los equipos de decenas de clientes desde un solo panel. Tomar ese servidor no es tomar una computadora: es heredar las llaves de todas las redes que ese proveedor atiende.
El hallazgo lo firman Huntback y Lupovis, dos firmas de inteligencia de amenazas que vigilan la cadena 4EverAble2Shell desde su publicación. En el fondo común donde los mineros cobran su trabajo apareció la billetera del atacante con 21 equipos activos, cada uno bautizado con el prefijo «nc_» seguido de la dirección del servidor comprometido. Lupovis contó a SecurityWeek que esos equipos ya entregaban resultados de minería a los cinco minutos de ser detectados, y que ninguno era un señuelo suyo: los 21 son servidores reales que ejecutaron la cadena completa hasta llegar a raíz, el control total del sistema.
La repartición por país deja a Estados Unidos al frente con 9 servidores. Sudáfrica y Canadá suman 4 cada uno, y el resto se reparte entre Reino Unido, Alemania, Francia y Suecia. Huntback anotó el dato que más duele: 19 de las 21 víctimas corrían la compilación 2026.4.1.26, el Hotfix 2 que N-able publicó el 10 de noviembre para cerrar la tanda anterior de fallos.
Cinco horas del código público al servidor tomado
La cronología del 12 de noviembre cabe en una mañana. La firma Previdian fijó la divulgación pública de la cadena a las 06:12 UTC y el código de prueba a las 07:13. Los señuelos de Huntback vieron el primer sondeo a las 08:30 y la petición ya armada, con la carga lista para correr, a las 09:16. Unas cinco horas después de la publicación del código, los primeros servidores de producción caían.
La cadena mezcla dos piezas. Abre con CVE-2026-90436, un fallo de Apache Axis con nota 9,8 sobre 10: al procesar un error de las peticiones SOAP, el componente carga una clase elegida por el atacante y ejecuta órdenes con la cuenta de servicio del propio N-central. El segundo paso es una escalada de privilegios propia de N-central, que Previdian sigue con el identificador VULN-2026-0009, y entrega la raíz. La ruta del servidor exige la interfaz Legacy API encendida y expuesta a internet, el mismo requisito que ya pesaba sobre Able2Shell en N-central, la tanda que el investigador Sean Bales publicó el fin de semana y que el Hotfix 2 debía cerrar.
Con la raíz en la mano, el atacante descarga un guion llamado jup.sh desde un servidor con la dirección 157.20.241.16, en el puerto 8080. El guion instala XMRig, el minero de Monero más usado en este tipo de campañas, con dos cuidados pensados para durar: usa solo la mitad de los núcleos del procesador, para no disparar las alarmas de rendimiento, y se engancha al arranque con los mecanismos systemd o cron, para sobrevivir a un reinicio.
Huntback dejó la instrucción sin adornos: un servidor tocado por esta cadena se trata como un compromiso completo, no como una limpieza. Borrar el minero no devuelve la confianza, porque la escalada entrega la raíz de la máquina que administra los equipos de los clientes. El minero es la única carga vista hasta ahora en los 21 equipos, contaron las dos firmas, y esa frase corta es la parte tranquilizadora de una nota que no tiene muchas.
N-able apaga funciones y pide revisar agentes
N-able respondió el jueves con recortes en sus entornos alojados: la interfaz Legacy API quedó apagada y la integración con Intune quedó fuera de servicio mientras la empresa implanta protecciones adicionales. A los clientes con servidor propio les pidió lo mismo en casa: Legacy API desactivada si alguien la había encendido, y actualización obligatoria de Agentes y Probes en las instalaciones 2026.4 HF1 en adelante, porque esa versión cambia la forma en que esos dos componentes se comunican con el servidor. Este 13 de noviembre la empresa añadió que identificó indicadores de compromiso adicionales y que trabaja con los clientes concretos afectados para evaluar y mitigar el riesgo.
La revisión práctica para cualquier proveedor con servidores N-central en casa empieza por tres puntos: confirmar que la Legacy API está apagada, buscar en el servidor el guion jup.sh, procesos de XMRig o conexiones salientes hacia la dirección del atacante, y tratar cualquier hallazgo como un incidente completo, con revisión de credenciales incluidas. El parche del martes sigue siendo necesario, solo que ya no alcanza como respuesta única.
Queda un hueco abierto y es grande: ninguna fuente confirma todavía una compilación de N-central que cierre esta cadena. Previdian probó el ataque contra la 2026.4.1.26 y declara sin confirmar el rango completo de versiones afectadas. Mientras ese dato no exista, la defensa real de un proveedor es una interfaz apagada y un servidor revisado, no un número de versión tranquilizador.
Fuente: The Hacker News
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
