4EverAble2Shell: Server N-able N-central Dibobol Jadi Penambang Kripto, Hotfix Terbaru Tak Cukup

Redaksi Softovator

8 hours ago

Ilustrasi server manajemen N-central yang dibobol dan dipakai menambang kripto, terhubung ke banyak komputer pelanggan

Server N-able N-central milik penyedia layanan IT terkelola (MSP) di berbagai negara dibobol lewat rangkaian celah bernama 4EverAble2Shell. Serangan dimulai hanya beberapa jam setelah kode exploit dipublikasikan pada 12 November 2026. Perusahaan intelijen ancaman Huntback menemukan setidaknya 21 server N-central produksi yang sudah dipasangi penambang kripto Monero, dan 19 di antaranya sudah menjalankan hotfix terbaru yang dirilis dua hari sebelumnya.

N-central adalah platform remote monitoring and management (RMM) yang dipakai MSP dan tim IT untuk mengelola ribuan komputer dan server pelanggan dari satu tempat. Karena itu, server N-central yang jatuh ke tangan penyerang berarti jalan masuk ke jaringan semua pelanggan yang dikelolanya.

Ringkasan

Aspek	Detail
Nama	4EverAble2Shell (server) dan Agent2Shell (agen Windows)
Produk	N-able N-central on-premises, termasuk build 2026.4.1.26 (Hotfix 2)
Syarat rentan	Fitur Legacy API aktif dan bisa diakses dari internet (bukan pengaturan bawaan)
Dampak	Eksekusi kode jarak jauh tanpa login, lalu naik hak akses menjadi root di server N-central
Celah awal rantai	CVE-2026-90436 di Apache Axis 1.x (CVSS 9.8 dari CISA-ADP)
Status eksploitasi	Dilaporkan aktif oleh Huntback; N-able merilis indikator kompromi (IoC) pada 13 November
Mitigasi utama	Matikan Legacy API, atau minimal jangan buka ke internet
N-central hosted	Menurut N-able, tidak terdampak rantai ini

Latar Belakang: Dari Able2Shell ke 4EverAble2Shell

Kasus ini adalah babak kedua dari pengungkapan besar minggu ini:

9 November 2026: seorang peneliti independen mempublikasikan detail dan kode proof-of-concept untuk 33 celah di N-central dengan nama Able2Shell. Menurut Huntress dan Rapid7, celah-celah itu bisa dirangkai menjadi setidaknya empat rantai serangan, termasuk eksekusi kode jarak jauh tanpa login dan naik hak akses menjadi root. N-able langsung mematikan lingkungan N-central hosted dan meminta pelanggan on-premises menjaga server tetap offline.
10 November 2026: N-able merilis N-central 2026.4 Hotfix 2 (build 2026.4.1.26) yang menambal tujuh CVE. Menurut catatan rilisnya, hotfix ini memperkuat autentikasi dan pemeriksaan izin, menghapus fitur MDM lama, menambah validasi file dan log, serta memperkeras komunikasi Agent dan Probe. Semua server hosted diperbarui oleh N-able.
12 November 2026, 03.58 UTC (10.58 WIB): peneliti yang sama mempublikasikan dua rantai exploit baru, 4EverAble2Shell dan Agent2Shell, yang disebut tetap bekerja pada server yang sudah memasang Hotfix 2.

Menurut Huntress, N-central juga sudah beberapa kali menjadi sasaran tahun ini, termasuk celah pre-auth RCE CVE-2026-86218 (CVSS 10.0) yang dieksploitasi pada September 2026.

Bagaimana Rantai Serangannya Bekerja?

Berdasarkan analisis Huntback terhadap serangan nyata di server umpan (decoy) mereka, rantai 4EverAble2Shell berjalan dalam dua tahap:

Eksekusi kode lewat Apache Axis. Penyerang mengirim permintaan ke endpoint SOAP /dms/services/ServerUI berisi pesan “SOAP fault” yang menyebut nama sebuah class Java. Celah Apache Axis 1.x (CVE-2026-90436) membuat server memuat dan membuat objek dari class tersebut sebelum pemeriksaan keamanan apa pun berjalan. Menurut deskripsi NVD, celah ini terjadi sebelum rantai handler per layanan dijalankan, sehingga handler autentikasi tidak bisa mencegahnya. Hasilnya, perintah berjalan sebagai user nable, akun yang menjalankan web stack N-central.
Naik menjadi root. Penyerang lalu menyalahgunakan skrip pemeliharaan bawaan N-central (nable_wrapper.pl) dengan trik symlink, sehingga skrip ServerChild.sh bisa diubah dan dijalankan sebagai root. Setelah itu, jejaknya dihapus.

Apache sendiri menyatakan Axis 1.x sudah tidak didukung (end of life) dan tidak berencana merilis versi Axis 1.x yang memperbaiki celah ini. Apache menyarankan migrasi ke mesin SOAP lain atau memakai build dengan patch yang sudah dipublikasikan.

Agent2Shell, menurut Huntress, adalah kumpulan lebih dari sepuluh masalah dalam komunikasi server N-central dengan Agent dan Probe di Windows. Dua rantainya memungkinkan penyerang tanpa login menjalankan perintah di endpoint Windows yang dikelola, termasuk sebagai SYSTEM. Pada 13 November, N-able mengonfirmasi bahwa eksploitasi Agent2Shell juga membutuhkan Legacy API aktif.

Serangan Nyata: Penambang Monero di 21 Server

Huntback mengoperasikan server N-central umpan untuk memantau serangan. Kronologi yang mereka catat pada 12 November 2026:

Waktu (UTC)	Waktu (WIB)	Kejadian
03.58	10.58	Kode exploit 4EverAble2Shell dipublikasikan.
08.30	15.30	Pemeriksaan pertama dari satu alamat IP penyerang mengenai server umpan Huntback, sekitar empat setengah jam setelah publikasi.
09.16	16.16	Rantai lengkap dikirim: eksekusi kode, naik ke root, lalu pemasangan penambang XMRig.
12.50	19.50	Akun mining pool milik penyerang menampilkan 21 “rig” berlabel `nc_` yang semuanya aktif menambang.

Temuan penting dari laporan Huntback:

Penyerang menamai setiap korban dengan pola nc_<IP-korban>. Karena pool penambangan menampilkan statistik per rig secara publik, daftar itu menjadi daftar korban yang hidup.
Ke-21 alamat itu menampilkan halaman login N-central, sebagian besar dengan merek MSP pemiliknya. Huntback menyimpulkan ini server produksi sungguhan, bukan honeypot.
19 dari 21 server menjalankan build 2026.4.1.26 (Hotfix 2). Satu server menjalankan 2025.3.1.9.
Lokasi korban: Amerika Serikat (9), Afrika Selatan (4), Kanada (4), serta Inggris, Jerman, Prancis, dan Swedia (masing-masing 1). Server tersebar di Azure, AWS, OVH, operator regional, dan MSP.
Penambang hanya memakai separuh inti CPU (maksimal 8) agar tidak cepat ketahuan, dan bertahan lewat layanan systemd atau cron yang menjalankannya ulang setiap 10 menit.
Dompet kripto yang sama tercatat punya 631 rig, termasuk korban dari celah di Jpom, FreePBX, MLflow, Apache Flink, PaperCut, dan SFTPGo. Menurut Huntback, operator ini rutin memakai exploit baru dalam hitungan jam setelah dipublikasikan.

Huntback mengingatkan bahwa penambang kripto hanyalah muatan yang terlihat sejauh ini. Penyerang sudah memegang akses root di server yang mengendalikan endpoint pelanggan, dan bisa menjalankan apa pun dengan cara yang sama. “Treat a hit as a full compromise, not a cleanup job,” tulis Huntback, yang berarti setiap temuan harus diperlakukan sebagai pembobolan penuh, bukan sekadar pembersihan.

Posisi N-able

Menurut Huntress, N-able menyatakan masalah server ini bergantung pada konfigurasi non-bawaan, yaitu Legacy API yang aktif dan terbuka ke internet. Untuk rantai ini, N-able tidak menyarankan server dimatikan, tetapi meminta pelanggan memastikan Legacy API nonaktif. Server on-premises yang belum memasang Hotfix 2 tetap disarankan offline sampai diperbarui. Pada 13 November pukul 13.40 UTC (20.40 WIB), N-able memperbarui advisory-nya dengan daftar indikator kompromi (IoC) untuk pelanggan yang belum menonaktifkan Legacy API. Daftar itu sama dengan infrastruktur yang dilaporkan Huntback. Huntress sendiri menyatakan belum melihat eksploitasi di lingkungan mitranya.

Menurut Tuskira, N-able juga menonaktifkan sementara integrasi Intune sebagai langkah pencegahan dan menyatakan hotfix lanjutan akan dirilis. Hingga sumber terakhir yang kami periksa (13 November), belum ada hotfix khusus untuk 4EverAble2Shell.

Apa yang Harus Dilakukan Pengelola N-central?

1. Matikan Legacy API

Ini langkah utama dari N-able. Legacy API tidak aktif secara bawaan, tetapi sebagian server mengaktifkannya untuk integrasi lama. N-able menyediakan artikel panduan “How to Disable Legacy API settings on On-Premises N-central servers” di halaman statusnya. Jika Legacy API benar-benar dibutuhkan, Huntress menyarankan jangan membukanya ke internet dan batasi akses ke server sampai N-able merilis perbaikan.

2. Pastikan sudah di Hotfix 2, lalu perbarui Agent dan Probe

Hotfix 2 (build 2026.4.1.26) tetap wajib untuk menutup 33 celah Able2Shell yang lama. Catatan rilis N-able menyebut semua pelanggan, hosted maupun on-premises, harus memperbarui Agent dan Probe. Perbarui Agent lebih dulu, baru Probe, karena Probe versi baru tidak bisa berkomunikasi dengan Agent versi lama. Perlu dicatat, fitur remote control bawaan N-central dinonaktifkan sementara di Hotfix 2, sedangkan Take Control tetap berfungsi.

3. Periksa indikator kompromi

Berdasarkan indikator yang dipublikasikan Huntback dan N-able, periksa hal-hal berikut di server N-central:

Jenis	Indikator
Folder	`/tmp/.xvd/` atau `/var/tmp/.xvd/` (berisi `x`, `keep.sh`, `xm.log`)
File sisa eskalasi	`serverchild-*.bak`, `.sh`, atau `.out` di `/var/opt/n-central/tmp/`; symlink di `/var/opt/n-central/flag/flag_default.json`
Persistensi	`/etc/systemd/system/xvd.service`, `/etc/cron.d/xvd`, atau baris crontab berakhiran `# xvkeep` untuk user nable atau root
Proses	Proses dengan `--rig-id nc_` atau `--donate-level 1`, atau binary bernama `x` yang berjalan dari `.xvd`
Jaringan	Koneksi keluar ke 157.20.241[.]16 (port 8080 dan 19202 sampai 19418), 139.99.69[.]109:10128, atau 79.76.51[.]56:39100
Log web	POST ke `/dms/services/ServerUI` berisi SOAP fault dengan elemen `exceptionName`, khususnya `jline.internal.TerminalLineSettings`

Contoh perintah pemeriksaan cepat (jalankan sebagai root):

ls -la /tmp/.xvd /var/tmp/.xvd 2>/dev/null
ls -la /var/opt/n-central/flag/flag_default.json /var/opt/n-central/tmp/serverchild-* 2>/dev/null
ls -la /etc/systemd/system/xvd.service /etc/cron.d/xvd 2>/dev/null
crontab -l -u nable 2>/dev/null | grep xvkeep; crontab -l 2>/dev/null | grep xvkeep
ps aux | grep -E -- '--rig-id nc_|--donate-level 1' | grep -v grep

4. Jika ada temuan

Perlakukan sebagai pembobolan penuh. Penyerang punya akses root di server yang mengelola endpoint pelanggan.
Sesuai saran Huntress dan CCB (pusat keamanan siber Belgia, seperti dikutip Tuskira), cari akun admin, skrip, tugas terjadwal, dan sesi remote yang tidak dikenal sejak 8 November, serta aktivitas PowerShell atau cmd.exe yang tidak wajar yang dijalankan oleh Agent atau Probe di endpoint Windows.
Ganti (rotate) kredensial yang tersimpan di N-central.
Libatkan tim respons insiden dan nilai apakah jaringan pelanggan yang dikelola lewat N-central ikut terdampak.

Pelajaran untuk MSP

Analisis redaksi: kasus ini menunjukkan dua hal. Pertama, jarak antara exploit publik dan serangan nyata kini tinggal hitungan jam: sekitar empat setengah jam dalam kasus ini, mirip dengan pola yang kami catat pada zero-day Chrome CVE-2026-125350. Kedua, memasang patch terbaru saja tidak cukup jika fitur lama yang rentan tetap aktif dan terbuka ke internet. Untuk sistem bernilai tinggi seperti RMM, yang memegang kunci ke seluruh jaringan pelanggan, prinsip dasarnya adalah: matikan fitur yang tidak dipakai, jangan buka antarmuka admin ke internet tanpa pembatasan, dan pantau server itu seketat server paling kritis.

Kesimpulan

4EverAble2Shell adalah rantai serangan tanpa login yang memberi akses root ke server N-able N-central on-premises dengan Legacy API aktif, termasuk server yang sudah memasang Hotfix 2. Serangan nyata dimulai sekitar empat setengah jam setelah exploit dipublikasikan, dan setidaknya 21 server MSP produksi dipasangi penambang Monero. N-able menyatakan masalah ini hanya terjadi jika Legacy API aktif dan terbuka ke internet, dan N-central hosted tidak terdampak. Pengelola N-central on-premises perlu segera mematikan Legacy API, memastikan Hotfix 2 serta Agent dan Probe terbaru sudah terpasang, dan memeriksa indikator kompromi. Kami akan memperbarui artikel ini saat N-able merilis hotfix lanjutan.