שרת האקרים חשוף חושף התקפות QuickLaunch על אוניברסיטאות

חוקרי Cybernews גילו שרת האקרים חשוף שחשף ניסיונות לגשת למערכות כניסה של אוניברסיטאות ולהגיע לנתוני סטודנטים ומורים. הצוות אמר כי התוקפים ניצלו פגיעויות ידועות של QuickLaunch כדי ליצור חשבונות משתמש ולגנוב מידע פרטי. QuickLaunch הוא כלי המופעל על ידי בינה מלאכותית המסייע למכללות ואוניברסיטאות לנהל את אופן הכניסה של סטודנטים ואנשי צוות למערכות בית הספר ולגשת לשירותים מקוונים. לפחות 42 אוניברסיטאות זוהו כיעדים פוטנציאליים, בעוד 40 נוספות נרשמו כמשתמשות בסוג אחר של הגדרת כניסה יחידה.

מה השרת הכיל

השרת החשוף הכיל יותר מהערות תקיפה. חוקרים מצאו 373 סקריפטים של Python שלפי ההערכה תמכו במבצע ו‑43 קבצי Markdown המתארים נתיבי תקיפה ומדווחים על תוצאות. חלק מהדוחות נכתבו בסינית מנדרינית ועוצבו כמו הערכות צוות אדום לגיטימיות, דבר המצביע על כך שהמפעיל עשוי להיות דובר סינית. החוקרים אמרו שדבר זה לבדו אינו מאשר שהתוקף היה ממוקם בסין.

השרת הכיל גם קבצי JSON, CSV וטקסט עם תוצאות ביניים וסופיות, וכן שני קבצי סביבה שחשפו מפתח API של DeepSeek, דבר המצביע על כך שחלקים מסוימים של זרימת העבודה עשויים היו להיות אוטומטיים בעזרת בינה מלאכותית תוצרת סין. מפתח SSH ציבורי שככל הנראה קשור לתוקף הושאר גם הוא. השרת אחסן כ‑32,400 רשומות משתמש ייחודיות על פני 1,079 דומיינים, עם שמות, כתובות דוא״ל ומזהי משתמש.

איך עבדה תקיפת הכניסה

הרשומות בשרת הצביעו על כך שהתוקף שרשר חולשות ב‑QuickLaunch ובתוכנת הזהות הבסיסית WSO2. CVE-2024-7097 איפשר חשבונות משתמש בלתי מורשים דרך ה‑API של QuickLaunch, ונתן דריסת רגל. CVE-2025-5605 חשף מידע פנימי של המערכת, כולל סטטיסטיקות זיכרון, מה שעשוי לסייע במיפוי מערכת היעד.

הרשומות הצביעו גם על חולשה ספציפית של איפוס סיסמה ב‑QuickLaunch שאפשרה לתוקפים להשתלט על לפחות חשבון אוניברסיטאי אמיתי אחד אם שאלות האבטחה מעולם לא נרשמו. נראה שהתוקף ניצל גם בעיה לא מתועדת בשירות WSO2 WS-Federation Passive STS כדי לקבל אסימון כניסה תקף גם עם סיסמה שגויה. האסימון שימש כהוכחת אימות לגישה לנתוני משתמש פנימיים, ובמקרה אחד לפחות גם לתוכן תיבת הדואר.

התוקפים כיוונו גם ל‑40 אוניברסיטאות המשתמשות ב‑ADFS המותקן עצמאית, מערכת כניסה נוספת בקמפוס. הרשומות הראו 36 מקרים של מטא-נתונים של פדרציה חשופים, כולל נקודות קצה ואישורים. הדבר כשלעצמו לא הוכיח פריצה, אך סיפק לתוקפים מודיעין שימושי למיפוי מערכות ולתכנון תקיפות המשך.

סיכונים ולוח זמנים

החוקרים אמרו כי מוסדות חינוך שנפגעו עומדים בפני סיכונים מעבר לפגיעה בחשבונות. אוניברסיטאות מטפלות בכמויות גדולות של נתונים אישיים ופיננסיים של סטודנטים ואנשי צוות, שיכולים לשמש לגניבת זהות, הונאה פיננסית והנדסה חברתית. לעיתים קרובות הן גם מחזיקות מחקר רגיש ולא מפורסם וקניין רוחני.

Cybernews מסרה כי פנתה ל‑QuickLaunch לקבלת תגובה. לוח הזמנים של הגילוי ציין כי שרת התוקף החשוף התגלה ב‑17 ביולי 2026, גילוי ראשוני ל‑QuickLaunch ב‑5 באוגוסט 2026, ושרת התוקף נצפה סגור ב‑2 בספטמבר 2026. נכון ל‑2 בספטמבר, נראה שהתוקפים סגרו את השרת.

מקורות: Cybernews