12 ноября исследователь Шон Бейлс опубликовал два новых эксплойта для N-central: 4EverAble2Shell и Agent2Shell. Первый позволяет без авторизации получить root-доступ к серверу, а второй, по словам автора, даёт права SYSTEM на управляемых компьютерах Windows.
Уже в тот же день первые подозрительные запросы зафиксировала компания Previdian, а затем Huntback увидела попытки выполнить полную цепочку атаки. В итоге взломали минимум 21 сервер в семи странах, причём 19 из них работали с последним исправлением, и на них установили майнер XMRig.
N-able ввела дополнительные ограничения, временно отключила интеграцию с Microsoft Intune и рекомендовала владельцам локальных серверов проверить состояние Legacy API. Дело в том, что для атаки 4EverAble2Shell нужен включённый Legacy API, который по умолчанию отключён.
