Виявлений сервер хакерів розкриває атаки QuickLaunch на університети

Дослідники Cybernews виявили відкритий сервер хакерів, який розкрив спроби доступу до систем входу університетів та отримання даних студентів і викладачів. Команда зазначила, що зловмисники скористалися відомими вразливостями QuickLaunch, щоб створювати облікові записи користувачів і красти приватну інформацію. QuickLaunch є інструментом на основі штучного інтелекту, який допомагає коледжам та університетам керувати тим, як студенти й працівники входять до систем закладу та отримують доступ до онлайн-сервісів. Принаймні 42 університети були визначені як потенційні цілі, а ще 40 були зазначені як такі, що використовують інший тип налаштування входу.

Що містив сервер

Відкритий сервер містив не лише нотатки про атаки. Дослідники знайшли 373 скрипти Python, які, як вважається, підтримували операцію, та 43 файли Markdown, що описували шляхи атак і результати роботи. Деякі звіти були написані мандаринською китайською і оформлені як справжні оцінки red team, що вказує на те, що оператор міг бути китайськомовним. Дослідники зазначили, що це саме по собі не підтверджує, що нападник перебував у Китаї.

Сервер також містив JSON-, CSV- і текстові файли з проміжними та остаточними результатами, а також два файли середовища, які викривали ключ API DeepSeek. Це вказує на те, що частину робочого процесу могли автоматизувати за допомогою штучного інтелекту китайського виробництва. На сервері також залишився публічний ключ SSH, ймовірно пов'язаний з нападником. Сервер зберігав приблизно 32 400 унікальних записів користувачів у 1 079 доменах, з іменами, електронними адресами та ідентифікаторами користувачів.

Як працювала атака на вхід

Записи на сервері вказували на те, що нападник поєднав слабкі місця QuickLaunch і базового програмного забезпечення ідентифікації WSO2. CVE-2024-7097 дозволяла створювати неавторизовані облікові записи користувачів через API QuickLaunch, що дало змогу закріпитися в середовищі. CVE-2025-5605 викривала внутрішню системну інформацію, зокрема статистику пам'яті, що могло допомогти скласти карту цільової системи.

Записи також вказували на слабкість скидання пароля, властиву саме QuickLaunch: вона дозволяла нападникам захопити принаймні один реальний університетський обліковий запис, якщо контрольні запитання ніколи не було зареєстровано. Крім того, нападник, схоже, скористався недокументованою проблемою в службі WSO2 WS-Federation Passive STS, щоб отримати дійсний токен входу навіть із неправильним паролем. Цей токен він використав як доказ автентифікації, щоб отримати доступ до внутрішніх даних користувачів і, принаймні в одному випадку, до вмісту поштової скриньки.

Нападники також цілили в 40 університетів, які використовують самостійно розгорнутий ADFS, ще одну систему входу кампусу. Записи показали 36 випадків викриття метаданих федерації, зокрема кінцеві точки та сертифікати. Це саме по собі не доводило факту злому, але дало нападникам корисні розвідувальні дані, щоб скласти карту систем і спланувати подальші атаки.

Ризики та хронологія

Дослідники зазначили, що постраждалі освітні установи стикаються з ризиками, які виходять за межі компрометації облікових записів. Університети обробляють великі обсяги персональних і фінансових даних студентів та працівників, які можна використати для крадіжки ідентичності, фінансового шахрайства та соціальної інженерії. Вони також часто зберігають конфіденційні, неопубліковані дослідження та інтелектуальну власність.

Cybernews повідомив, що звернувся до QuickLaunch за коментарем. У хронології розкриття зазначено, що відкритий сервер зловмисника був виявлений 17 липня 2026 року, первинне повідомлення QuickLaunch датоване 5 серпнем 2026 року, а сервер зловмисника спостерігали закритим 2 вересня 2026 року. Станом на 2 вересня зловмисники, схоже, закрили сервер.

Джерела: Cybernews