გამჟღავნებული ჰაკერული სერვერი უნივერსიტეტებზე QuickLaunch-ის გავლით შეტევებს ავლენს

Cybernews-ის მკვლევარებმა აღმოაჩინეს გამჟღავნებული ჰაკერული სერვერი, რომელმაც გამოავლინა უნივერსიტეტების შესვლის სისტემებზე წვდომისა და სტუდენტებისა და მასწავლებლების მონაცემებამდე მისვლის მცდელობები. გუნდის თქმით, თავდამსხმელები იყენებდნენ QuickLaunch-ის ცნობილ სისუსტეებს მომხმარებლის ანგარიშების შესაქმნელად და კონფიდენციალური ინფორმაციის მოსაპოვებლად. QuickLaunch არის AI-ზე დაფუძნებული ინსტრუმენტი, რომელიც კოლეჯებსა და უნივერსიტეტებს ეხმარება, მართონ, როგორ შედიან სტუდენტები და თანამშრომლები სასწავლო სისტემებში და როგორ იღებენ წვდომას ონლაინ სერვისებზე. პოტენციურ სამიზნეებად მინიმუმ 42 უნივერსიტეტი დასახელდა, ხოლო კიდევ 40 უნივერსიტეტზე აღნიშნული იყო, რომ სხვა ტიპის შესვლის სისტემას იყენებდნენ.

რა შეიცავდა სერვერი

გამჟღავნებულ სერვერზე მხოლოდ თავდასხმის ჩანაწერები არ იყო. მკვლევარებმა იპოვეს 373 Python-ის სკრიპტი, რომლებიც, სავარაუდოდ, ოპერაციას ემსახურებოდნენ, და 43 Markdown-ის ფაილი, სადაც აღწერილი იყო თავდასხმის გზები და მოხსენებების შედეგები. ზოგიერთი მოხსენება მანდარინის ჩინურ ენაზე იყო დაწერილი და ლეგიტიმური Red Team-ის შეფასებების სტილს მიჰყვებოდა, რაც იმაზე მიუთითებს, რომ ოპერატორი შესაძლოა ჩინურენოვანი ყოფილიყო. მკვლევარების თქმით, მხოლოდ ეს ფაქტი ვერ ადასტურებს, რომ თავდამსხმელი ჩინეთში იმყოფებოდა.

სერვერზე ასევე იყო JSON, CSV და ტექსტური ფაილები შუალედური და საბოლოო შედეგებით, და ორი environment ფაილი, რომლებიც DeepSeek-ის API გასაღებს ამჟღავნებდნენ; ეს მიუთითებს, რომ სამუშაო პროცესის ნაწილი შესაძლოა ჩინური AI-ის დახმარებით ყოფილიყო ავტომატიზებული. ასევე დარჩა საჯარო SSH გასაღები, რომელიც, სავარაუდოდ, თავდამსხმელს ეკუთვნოდა. სერვერზე ინახებოდა დაახლოებით 32 400 უნიკალური მომხმარებლის ჩანაწერი 1079 დომენზე, სახელებით, ელფოსტის მისამართებითა და მომხმარებლის ID-ებით.

როგორ მუშაობდა შესვლის თავდასხმა

სერვერზე არსებული ჩანაწერები მიუთითებდა, რომ თავდამსხმელმა ერთმანეთს დაუკავშირა QuickLaunch-ისა და მის საფუძვლად მდებარე WSO2-ის იდენტობის პროგრამული უზრუნველყოფის სისუსტეები. CVE-2024-7097 საშუალებას იძლეოდა QuickLaunch-ის API-ის მეშვეობით არაავტორიზებული მომხმარებლის ანგარიშები შექმნილიყო, რაც თავდამსხმელს საწყის წვდომას აძლევდა. CVE-2025-5605 ამჟღავნებდა სისტემის შიდა ინფორმაციას, მათ შორის მეხსიერების სტატისტიკას, რაც სამიზნე სისტემის რუკის შედგენაში ეხმარებოდა.

ჩანაწერები ასევე მიუთითებდა QuickLaunch-ისთვის დამახასიათებელ პაროლის აღდგენის სისუსტეზე, რომელიც თავდამსხმელებს საშუალებას აძლევდა დაეპყრათ მინიმუმ ერთი რეალური უნივერსიტეტის ანგარიში, თუ უსაფრთხოების კითხვები არასდროს ყოფილა რეგისტრირებული. გარდა ამისა, თავდამსხმელი, როგორც ჩანს, იყენებდა WSO2 WS-Federation Passive STS სერვისის დაუდოკუმენტირებულ ხარვეზს, რათა არასწორი პაროლის შემთხვევაშიც კი მოეპოვებინა მოქმედი login token-ი. ეს ტოკენი გამოიყენებოდა ავთენტიფიკაციის დამადასტურებლად შიდა მომხმარებლის მონაცემებზე წვდომის მისაღებად და, მინიმუმ ერთ შემთხვევაში, საფოსტო ყუთის შიგთავსზე.

თავდამსხმელები ასევე მიზნად ისახავდნენ 40 უნივერსიტეტს, რომლებიც საკუთარ სერვერებზე გაშვებულ ADFS-ს, კამპუსის შესვლის კიდევ ერთ სისტემას, იყენებდნენ. ჩანაწერებში აღრიცხული იყო ფედერაციის მეტამონაცემების გამჟღავნების 36 შემთხვევა, მათ შორის endpoint-ები და სერტიფიკატები. ეს თავისთავად შეღწევას არ ადასტურებდა, მაგრამ თავდამსხმელებს აძლევდა სასარგებლო ინფორმაციას სისტემების რუკის შესადგენად და შემდგომი თავდასხმების დასაგეგმად.

რისკები და ქრონოლოგია

მკვლევარების თქმით, დაზარალებული სასწავლო დაწესებულებები ანგარიშების კომპრომეტაციის გარდა სხვა რისკებსაც აწყდებიან. უნივერსიტეტები დიდი რაოდენობის პირად და ფინანსურ მონაცემებს ამუშავებენ, რომლებიც შეიძლება გამოყენებულ იქნას იდენტობის ქურდობის, ფინანსური თაღლითობისა და სოციალური ინჟინერიისთვის. მათ ხშირად აქვთ მგრძნობიარე, გამოუქვეყნებელი კვლევები და ინტელექტუალური საკუთრებაც.

Cybernews-ის ცნობით, ისინი QuickLaunch-თან დაუკავშირდნენ კომენტარის მისაღებად. გამჟღავნების ქრონოლოგიაში მითითებულია, რომ საფრთხის აქტორის გამჟღავნებული სერვერი აღმოჩენილ იქნა 2026 წლის 17 ივლისს, QuickLaunch-ისთვის პირველადი გამჟღავნება მოხდა 2026 წლის 5 აგვისტოს, ხოლო საფრთხის აქტორის სერვერი დახურულად დაფიქსირდა 2026 წლის 2 სექტემბერს. 2 სექტემბრის მდგომარეობით, როგორც ჩანს, საფრთხის აქტორებმა სერვერი დახურეს.

წყაროები: Cybernews