В KnowledgeDeliver уязвимость была использована как уязвимость нулевого дня для установки веб-оболочек.

[zender]

Хакеры использовали критическую уязвимость нулевого дня на сервере, на котором работала система управления обучением KnowledgeDeliver (LMS), для развертывания веб-оболочки Godzilla.


Уязвимость связана с десериализацией и зарегистрирована как CVE-2026-5426 , и может быть использована без аутентификации. Она возникает из-за использования общего жестко закодированного машинного ключа в конфигурации веб-портала во всех развертываниях KnowledgeDeliver для клиентов.

Десериализация ViewState​

Злоумышленники получили ключ доступа к машине и использовали его в атаках по десериализации ViewState для подписи вредоносных полезных нагрузок ViewState и достижения удаленного выполнения кода на уровне операционной системы.

В конце 2025 года компания Mandiant отреагировала на атаку на сервер KnowledgeDeliver и заявила, что первоначально уязвимость была использована как уязвимость нулевого дня для внедрения вредоносного скрипта в веб-платформу.


По словам исследователей, возможность эксплуатации уязвимости заключалась в использовании «идентичных предварительно согласованных ключей доступа к ASP.NET на нескольких клиентских серверах».


«В системах KnowledgeDeliver, развернутых до 24 февраля 2026 года, использовался стандартизированный файл web.config, предоставленный поставщиком. Этот конфигурационный файл содержал жестко закодированные значения machineKey, используемые платформой ASP.NET для шифрования и подписи данных, включая данные ViewState», — поясняет Mandiant.


По словам исследователей, вредоносный код на платформе «убедил пользователей загрузить поддельный установщик», что привело к заражению машины маяком Cobalt Strike, по сути, к внедрению бэкдора.


«Полезная нагрузка была зашифрована с использованием ключа, в котором использовалось имя скомпрометированной организации, что указывало на то, что злоумышленник подготовил эту полезную нагрузку специально для целевой организации», — говорится в сегодняшнем отчете компании Mandiant.

доставка оболочки паутины Годзиллы​

По данным Mandiant, злоумышленник использовал веб-оболочку Godzilla (она же BlueBeam), работающую в оперативной памяти и основанную на .NET, которая также применялась в аналогичных атаках, зафиксированных Microsoft в конце 2024 года.


В августе 2024 года исследователи из компании ASEC, занимающейся кибербезопасностью, также сообщили , что Годзилла используется в средах ASP.NET в атаках с десериализацией ViewState, направленных на компании финансового сектора.


Компания Mandiant отмечает, что злоумышленник, скомпрометировавший экземпляры KnowledgeDeliver, выполнил команды для повышения своего контроля над файловой системой веб-сервера.


Это позволило им модифицировать JavaScript-файл приложения, добавив в него код, предлагающий пользователям установить «плагин аутентификации безопасности» и загрузить вредоносный скрипт с домена, находящегося под контролем злоумышленника.


В течение последнего года хакеры использовали неправильно защищенные машинные ключи в атаках по десериализации ViewState, нацеленных на веб-платформы различных продуктов.


В марте прошлого года злоумышленники использовали зашифрованный машинный ключ для создания вредоносной программы, которая позволила получить доступ к защищенным серверам обмена файлами Gladinet CentreStack.


В июле 2025 года хакеры взломали 85 серверов Microsoft SharePoint , украв ключ доступа к системе, чтобы создать подписанные вредоносные программы ViewState.


Государственные структуры также использовали атаки десериализации ViewState для развертывания на серверах Sitecore инструмента разведки под названием WeepSteel, который раскрывал машинный ключ ASP.NET.