Активна експлоатация преди публичното разкриване

Хакери използват две уязвимости за заобикаляне на автентикация в open-source инструмента Qinglong, за да инсталират криптомайнъри върху сървъри на разработчици.

Според изследователи от Snyk, атаките започват още в началото на февруари, преди проблемите да бъдат официално публикувани като уязвимости в края на месеца.

Какво представлява Qinglong

Qinglong е self-hosted платформа за управление на задачи и автоматизация, популярна сред китайски разработчици. Проектът е широко използван, с над 19 000 звезди в GitHub и хиляди fork-ове.

Двете критични уязвимости

Атаките комбинират два проблема, които позволяват заобикаляне на автентикацията и изпълнение на код от разстояние:

• CVE-2026-3965 – грешно конфигурирано пренасочване на заявки, което отваря достъп до административни API ендпойнти без логин
• CVE-2026-4047 – несъответствие в чувствителността към главни/малки букви между рутера и authentication слоя, което позволява заобикаляне чрез модифицирани URL заявки

Комбинацията от двете води до remote code execution (RCE).

Как работи атаката

След компрометиране на системата, нападателите:

• модифицират конфигурационния файл config.sh
• инжектират shell команди
• изтеглят криптомайнър и го стартират скрито в системата

Малуерът се разполага в директория /.fullgc и използва име, имитиращо системен процес, за да избегне откриване.

Скрито майнинг и високо натоварване

Засегнатите потребители първи забелязват процес с име .fullgc, който използва между 85% и 100% CPU натоварване.

Сървърите са били използвани за добив на криптовалута, като са засегнати различни архитектури, включително Linux x86_64, ARM64 и macOS.

Инфраструктура на атаката и разпространение

Криптомайнърът е изтеглян от външен сървър, хостващ различни версии на бинарните файлове. Инфекции са отчетени в множество среди, включително такива зад Nginx и SSL защита.

Реакция и пачове

Поддръжниците на Qinglong реагират в началото на март, но първоначалната корекция е оценена като недостатъчна от изследователите.

Ефективното решение идва по-късно чрез допълнителен ъпдейт, който коригира основния проблем с authentication bypass в middleware слоя.

Случаят показва класически модел на атака в open-source екосистеми: комбинация от логически уязвимости в рутинг и автентикация, използвани за бързо разгръщане на криптомайнъри преди публичен ъпдейт.