Aşkar edilmiş haker serveri universitetlərə QuickLaunch vasitəsilə edilən hücumları üzə çıxardı

Cybernews tədqiqatçıları universitetlərin giriş sistemlərinə çıxış və tələbə və müəllim məlumatlarına çatmaq cəhdlərini üzə çıxaran açığa çıxmış haker serveri aşkar ediblər. Komandanın sözlərinə görə, hücumçular QuickLaunch-ın məlum zəifliklərindən istifadə edərək istifadəçi hesabları yaradıb və məxfi məlumatları oğurlayıblar. QuickLaunch süni intellektlə işləyən alətdir; kollec və universitetlərə tələbələrin və işçilərin məktəb sistemlərinə necə daxil olduğunu və onlayn xidmətlərə çıxışını idarə etməyə kömək edir. Ən azı 42 universitet potensial hədəf kimi müəyyən edilib, daha 40 universitet isə başqa tipli giriş qurulumundan istifadə etdiyi üçün siyahıya salınıb.

Serverdə nə vardı

Açıq serverdə təkcə hücum qeydləri yox idi. Tədqiqatçılar əməliyyatı dəstəklədiyi güman edilən 373 Python skripti və hücum yollarını təsvir edən, nəticələr barədə hesabat verən 43 Markdown faylı tapıblar. Bəzi hesabatlar Mandarin çincəsində yazılmışdı və əsl qırmızı komanda qiymətləndirmələri kimi tərtib olunmuşdu ki, bu da operatorun çindilli ola biləcəyini göstərirdi. Tədqiqatçılar bildiriblər ki, yalnız bu fakt hücumçunun Çində yerləşdiyini təsdiqləyə bilməz.

Serverdə həmçinin aralıq və yekun nəticələrlə JSON, CSV və mətn faylları, eləcə də DeepSeek API açarını açığa çıxaran iki mühit faylı var idi. Bu, iş axınının bəzi hissələrinin Çin istehsalı süni intellektin köməyi ilə avtomatlaşdırıla biləcəyini göstərirdi. Serverdə hücumçu ilə bağlı olduğu ehtimal edilən açıq SSH açarı da qalmışdı. Server 1,079 domen üzrə təxminən 32,400 unikal istifadəçi qeydi saxlayırdı: adlar, e-poçt ünvanları və istifadəçi ID-ləri.

Giriş hücumu necə işləyirdi

Serverdəki qeydlər göstərirdi ki, hücumçu QuickLaunch və onun əsasında duran WSO2 kimlik proqram təminatındakı zəiflikləri zəncirləyib. CVE-2024-7097 QuickLaunch API vasitəsilə icazəsiz istifadəçi hesablarının yaradılmasına imkan verirdi və hücumçuya dayaq nöqtəsi qazandırırdı. CVE-2025-5605 yaddaş statistikası da daxil olmaqla daxili sistem məlumatlarını açığa çıxarırdı ki, bu da hədəf sistemin xəritələnməsinə kömək edə bilərdi.

Qeydlər həmçinin QuickLaunch-a xas parol sıfırlama zəifliyinə işarə edirdi: təhlükəsizlik sualları heç vaxt qeydiyyata alınmayıbsa, bu zəiflik hücumçulara ən azı bir real universitet hesabını ələ keçirməyə imkan verirdi. Bundan başqa, hücumçu WSO2 WS-Federation Passive STS xidmətindəki sənədləşdirilməmiş problemdən istifadə edərək səhv parolla belə etibarlı giriş tokeni əldə etmiş görünürdü. Hücumçu bu tokeni autentifikasiya sübutu kimi istifadə edərək daxili istifadəçi məlumatlarına və ən azı bir halda poçt qutusunun məzmununa çıxış əldə edib.

Hücumçular həmçinin öz serverlərində yerləşdirilən ADFS-dən istifadə edən 40 universiteti hədəf alıblar; bu, kampusun başqa bir giriş sistemidir. Qeydlər federasiya metadatasının 36 ifşa halını göstərirdi, o cümlədən son nöqtələr və sertifikatlar. Bu, təkbaşına sızma faktını sübut etmirdi, lakin hücumçulara sistemləri xəritələmək və sonrakı hücumları planlaşdırmaq üçün faydalı kəşfiyyat verirdi.

Risklər və xronologiya

Tədqiqatçılar bildiriblər ki, zərər çəkmiş təhsil müəssisələri hesabların ələ keçirilməsindən kənar risklərlə üzləşirlər. Universitetlər tələbələrin və işçilərin böyük həcmdə şəxsi və maliyyə məlumatlarını emal edir və bu məlumatlar şəxsiyyət oğurluğu, maliyyə fırıldaqçılığı və sosial mühəndislik üçün istifadə oluna bilər. Onlar tez-tez həm də həssas, dərc edilməmiş tədqiqatlar və əqli mülkiyyət saxlayırlar.

Cybernews bildirib ki, şərh almaq üçün QuickLaunch ilə əlaqə saxlayıb. Açıqlama xronologiyasında qeyd olunurdu ki, hücumçunun açıq serveri 17 iyul 2026-cı ildə aşkar edilib, QuickLaunch-a ilkin məlumat 5 avqust 2026-cı ildə verilib və hücumçunun serveri 2 sentyabr 2026-cı ildə bağlı müşahidə olunub. 2 sentyabr 2026-cı il tarixinə hücumçular serveri bağlamış görünürdü.

Mənbələr: Cybernews