Критична ранливост во SimpleHelp се злоупотребува за испорака на малициозен софтвер

Напаѓачите се фокусираат на кражба на кориснички акредитиви, SSH клучеви, криптопаричници и алатки за развој на софтвер.

Неодамна откриена ранливост што овозможува заобиколување на автентикацијата во SimpleHelp, софтвер за далечинско следење и управување со системи (Remote Monitoring and Management – RMM), активно се злоупотребува за испорака на малициозен софтвер.

Ранливоста е означена како CVE-2026-48558 и има максимална CVSS оценка од 10.0. Таа го погодува механизмот за автентикација преку OpenID Connect (OIDC) и му овозможува на далечински напаѓач да воспостави целосно автентицирана сесија како техничар.

Проблемот настанува затоа што, кога е овозможена OIDC-автентикација, апликацијата не го проверува криптографскиот потпис на идентитетските токени (identity tokens). Поради тоа, неавтентициран напаѓач може да испрати фалсификуван токен при најавување и да добие неовластен пристап.

Доколку напаѓачот добие пристап до SimpleHelp сервер што е достапен преку интернет, може да префрла датотеки и да извршува команди на сите системи што се управуваат преку тој сервер.

Според компанијата Blackpoint, во забележаните напади овој пристап бил искористен за инсталирање на две фамилии малициозен софтвер:

• TaskWeaver – вчитувач (loader) базиран на Node.js;
• Djinn Stealer – мултиплатформски инфостилер (information stealer) наменет за кражба на чувствителни податоци.

TaskWeaver бил користен за собирање информации за компромитираниот систем (system fingerprinting) и за инсталирање JavaScript-платформа што се извршува со целосен Node.js пристап. Според Blackpoint, вчитувачот има едноставна структура и може да се користи за испорака на каков било шифриран малициозен товар (payload).

Од друга страна, Djinn Stealer е специјално дизајниран за кражба на доверливи податоци од компјутери што ги користат програмери. Тој може да украде:

• акредитиви за cloud-сервиси;
• SSH клучеви;
• конфигурации на инфраструктура;
• токени за системи за контрола на изворен код (source control);
• акредитиви за регистри на софтверски пакети;
• податоци од развојни алатки;
• криптопаричници;
• сите зачувани податоци од веб-прелистувачите.

Особено загрижувачки е тоа што малициозниот софтвер ги краде и акредитивите за AI-развојни алатки, што им овозможува на напаѓачите да добијат пристап до развојните процеси и потенцијално да ги компромитираат AI-проектите што ги развиваат организациите.

Безбедносниот пропуст беше отстранет кон крајот на мај со објавувањето на SimpleHelp 5.5.16 и SimpleHelp 6.0 RC2.

Организациите се повикуваат што е можно побрзо да ги ажурираат своите инсталации и да ги прегледаат дневниците (логовите) на апликацијата за непознати имиња на техничари или необични е-поштени адреси, бидејќи тоа може да укажува на компромитација на системот.

По објавувањето на извештајот од Blackpoint, американската Агенција за сајбер безбедност и безбедност на инфраструктурата (CISA) ја додаде CVE-2026-48558 во својот Каталог на познати активно злоупотребувани ранливости (Known Exploited Vulnerabilities – KEV). Воедно, агенцијата им наложи на федералните институции да ја отстранат ранливоста во рок од три дена, во согласност со насоките од BOD 26-04.

Извори:

• SecurityWeek – Critical SimpleHelp Vulnerability Exploited for Malware Delivery SecurityWeek