Հաքերների բացահայտված սերվերը ցույց է տալիս, թե ինչպես են հարձակվել համալսարանների վրա QuickLaunch-ի միջոցով

Cybernews-ի հետազոտողները հայտնաբերել են հաքերների բացահայտված սերվեր, որը ցույց է տվել համալսարանների մուտքի համակարգերին հասանելիություն ստանալու և ուսանողների ու ուսուցիչների տվյալներին հասնելու փորձեր։ Թիմի խոսքով՝ հարձակվողները օգտագործել են QuickLaunch-ի հայտնի խոցելիությունները՝ ստեղծելու օգտագործողների հաշիվներ և գողանալու գաղտնի տեղեկություններ։ QuickLaunch-ը արհեստական բանականության վրա հիմնված գործիք է, որն օգնում է քոլեջներին և համալսարաններին կառավարել, թե ինչպես են ուսանողներն ու աշխատակիցները մուտք գործում դպրոցական համակարգեր և օնլայն ծառայություններ։ Առնվազն 42 համալսարան նշվել է որպես հնարավոր թիրախ, ևս 40-ը՝ որպես մուտքի այլ տեսակի կարգավորում օգտագործող։

Ինչ էր պարունակում սերվերը

Բացահայտված սերվերը պարունակում էր ոչ միայն հարձակման նշումներ։ Հետազոտողները գտել են 373 Python սկրիպտ, որոնք, ենթադրաբար, սպասարկել են գործողությունը, և 43 Markdown ֆայլ, որոնք նկարագրել են հարձակման ուղիները և զեկուցել արդյունքների մասին։ Որոշ զեկույցներ գրված էին մանդարին չինարենով և ձևավորված էին որպես իսկական red team գնահատականներ, ինչը հուշում է, որ օպերատորը կարող էր չինախոս լինել։ Հետազոտողները նշել են, որ միայն այդ փաստը չի կարող հաստատել, որ հարձակվողը գտնվել է Չինաստանում։

Սերվերը պարունակում էր նաև JSON, CSV և տեքստային ֆայլեր՝ միջանկյալ և վերջնական արդյունքներով, ինչպես նաև երկու միջավայրի ֆայլ, որոնք բացահայտում էին DeepSeek API բանալին։ Դա ցույց է տալիս, որ աշխատանքային հոսքի որոշ մասեր կարող էին ավտոմատացված լինել չինական արտադրության արհեստական բանականության օգնությամբ։ Սերվերի վրա թողնված էր նաև հանրային SSH բանալի, որը, հավանաբար, կապված էր հարձակվողի հետ։ Սերվերը պահում էր մոտավորապես 32,400 եզակի օգտագործողի գրառում 1,079 դոմենում՝ անուններով, էլեկտրոնային հասցեներով և օգտագործողի ID-ներով։

Ինչպես էր աշխատում մուտքի հարձակումը

Սերվերի գրառումները ցույց էին տալիս, որ հարձակվողը շղթայել է QuickLaunch-ի և դրա հիմքում ընկած WSO2 ինքնության ծրագրային ապահովման թույլ կողմերը։ CVE-2024-7097-ը թույլ էր տալիս QuickLaunch API-ի միջոցով ստեղծել չարտոնված օգտագործողի հաշիվներ՝ ապահովելով հենակետ։ CVE-2025-5605-ը բացահայտում էր ներքին համակարգային տեղեկատվություն, ներառյալ հիշողության վիճակագրությունը, ինչը կարող էր օգնել քարտեզագրել թիրախ համակարգը։

Գրառումները նաև մատնանշում էին QuickLaunch-ին հատուկ գաղտնաբառի վերականգնման թույլ կողմ, որը թույլ էր տալիս հարձակվողներին տիրանալ առնվազն մեկ իրական համալսարանական հաշվի, եթե անվտանգության հարցերը երբեք չէին գրանցվել։ Բացի այդ, հարձակվողը, ըստ երևույթին, օգտագործել է WSO2 WS-Federation Passive STS ծառայության չփաստաթղթավորված խնդիր՝ ստանալու վավեր մուտքի թոքեն նույնիսկ սխալ գաղտնաբառի դեպքում։ Այդ թոքենն օգտագործվել է որպես ինքնության հաստատման ապացույց՝ ներքին օգտագործողների տվյալներին և առնվազն մեկ դեպքում փոստարկղի բովանդակությանը հասանելիություն ստանալու համար։

Հարձակվողները թիրախավորել են նաև 40 համալսարան, որոնք օգտագործում էին սեփական սերվերներում տեղակայված ADFS-ը՝ կամպուսի մուտքի մեկ այլ համակարգ։ Գրառումները ցույց են տվել ֆեդերացիայի մետատվյալների բացահայտման 36 դեպք՝ ներառյալ վերջնակետերը և սերտիֆիկատները։ Դա ինքնին չէր ապացուցում ներխուժում, բայց հարձակվողներին տալիս էր օգտակար հետախուզություն՝ համակարգերը քարտեզագրելու և հետագա հարձակումները պլանավորելու համար։

Ռիսկերը և ժամանակագրությունը

Հետազոտողները նշել են, որ տուժած կրթական հաստատությունները բախվում են հաշիվների կորստից ավելի լայն ռիսկերի։ Համալսարանները մշակում են ուսանողների և աշխատակիցների մեծ ծավալի անձնական և ֆինանսական տվյալներ, որոնք կարող են օգտագործվել ինքնության գողության, ֆինանսական խարդախության և սոցիալական ինժեներիայի համար։ Նրանք հաճախ պահում են նաև զգայուն, չհրապարակված հետազոտություններ և մտավոր սեփականություն։

Cybernews-ը հայտնել է, որ դիմել է QuickLaunch-ին մեկնաբանության համար։ Բացահայտման ժամանակագրության մեջ նշված է, որ հարձակվողի բացահայտված սերվերը հայտնաբերվել է 2026 թվականի հուլիսի 17-ին, QuickLaunch-ին առաջին ծանուցումը տրվել է 2026 թվականի օգոստոսի 5-ին, իսկ հարձակվողի սերվերը դիտվել է փակ 2026 թվականի սեպտեմբերի 2-ին։ 2026 թվականի սեպտեմբերի 2-ի դրությամբ հարձակվողները, ըստ երևույթին, փակել էին սերվերը։

Աղբյուրներ: Cybernews