مهاجمون يستغلون ثغرات AhsayCBS لنشر باب خلفي Python يتجنب بيئات الاختبار

كشف باحثو Huntress عن هجوم استغل ثغرتين جرى تصحيحهما في AhsayCBS لنشر برنامج زرع مبني على Python على خوادم النسخ الاحتياطي. واستخدم النشاط، الذي رُصد في أكتوبر 2026، الثغرتين CVE-2026-105133 وCVE-2026-105134 ضمن سلسلة لتجاوز المصادقة وتنفيذ أوامر عشوائية. وأصدرت Ahsay Backup التصحيحات في منتصف أكتوبر 2026.

الثغرات والاختراق

ورجّح الباحثون أن الثغرتين استُخدمتا كسلاح كثغرتَي «يوم صفر» (zero-day). ورأت منصة الأمن المُدارة أولاً مهاجمين يعتمدون أسلوب «اضرب واهرب» لنشر صدفات ويب وعمال تعدين عملات مشفرة XMRig على أنظمة مخترقة. وكان حادث أكتوبر 2026 أكثر صبراً: زُرعت صدفات في عدة أماكن، وشُغّل عاملَا تعدين مختلفان، وجُهّزت أدوات نفق، وثُبّت برنامج زرع مخصص على خوادم وظيفتها الاحتفاظ بالنسخ الاحتياطية، وفقاً لباحث Huntress جوناثان سيمون.

صدفات ويب وعمال تعدين

وترك المهاجم المجهول خمس عائلات من صدفات ويب Jakarta Server Pages (JSP، المعروفة سابقاً باسم JavaServer Pages). وشملت nsmind.jsp، الموصوفة بأنها واجهة API موقّعة تتيح تنفيذ الأوامر ونقل الملفات عبر معلمات exec وcd وupload وdownload؛ وAhsayCBS.jsp، وهو محمّل يخفي حمولات مشفرة داخل بيانات البكسل في صور PNG ويشغّلها من الذاكرة؛ وصدفة أوامر بمفتاح تقارن مفتاحاً مضمّناً في الشيفرة بنسختها الخاصة وتنفّذ الأوامر عبر cmd.exe إذا تطابقا؛ وصدفة بمفتاح مع إمكانية كتابة الملفات، توسّع صدفة الأوامر بمفتاح بحيث تكتب بايتات مفكوكة من Base64 إلى أي مسار يصل إليه حساب الخدمة وتنشر مزيداً من الأدوات؛ وملفات status أو st بستة أحرف عشوائية، مثل st_jgaejj.jsp، تُستخدم لتنفيذ الأوامر وحذف أي مسار يُدخل إليها حذفاً عودياً وحذف نفسها باستخدام معلمات cmd وdel وrm.

وقالت Huntress إن تنكّر AhsayCBS.jsp في هيئة خدمة معاينة صور داخلية امتد إلى كتلة تعليق تصف نقطة نهاية لعلامة مائية. ولم تستخدم صدفة الويب سوى الكائنات الضمنية في JSP وأسماء الفئات المؤهلة بالكامل، أي أنها كانت ستُترجم على أي حاوية servlet وعلى Java Development Kit (JDK) 6 وما بعده. وإلى جانب عامل تعدين XMRig متنكّر في هيئة Microsoft Edge، سلّم الهجوم عامل تعدين XMRig ثانياً هو kvm-agent.exe، يعيد التشغيل كل دقيقة عبر مهمة مجدولة تعمل بصلاحية SYSTEM، ويستخدم محفظة ومجمع تعدين مختلفين.

باب خلفي بلغة Python يتجنب بيئات العزل

صُمم الباب الخلفي main.py ليعمل فقط على المضيف الذي زُرع فيه، ولمنع تنفيذه داخل بيئة عزل أو على جهاز محلل. ويحقق ذلك بحساب تجزئة SHA-256 لقيمة MachineGuid الخاصة بالمضيف، والبحث عن ملف علامة يحمل الاسم نفسه في المجلد ذاته الذي يضم برنامج زرع Python. ثم يشغّل مكتبة DLL مدمجة بمعمارية x64 في الذاكرة تتصل بخادم قيادة وتحكّم على العنوان creepexplosiondarknight[.]com.

كما تهيّئ سلسلة الهجوم استثناءات في Microsoft Defender، وتقدّم أدوات نفق هما GOST وChisel، وبرامج وصول عن بُعد مشروعة هي AnyDesk وAtera وSplashtop، لإقامة وصول دائم.

تركيز على البنية التحتية للنسخ الاحتياطي

وتشير الأدلة إلى أن المهاجم ربما استهدف خوادم تحتفظ بالنسخ الاحتياطية أو تديرها. وعلى خادم Veeam مرتبط في البيئة نفسها، رأت Huntress أمراً يتوافق مع وحدة سرقة بيانات الاعتماد الخاصة بـ Veeam في NetExec: سكربت PowerShell، يبدو أنه أُطلق عن بُعد عبر WMI، استعلم قاعدة بيانات VeeamBackup في PostgreSQL عن بيانات اعتماد مخزنة وفكّ تشفيرها باستخدام DPAPI.

فبرامج النسخ الاحتياطي تحتفظ ببيانات اعتماد للأنظمة الافتراضية والمستودعات وحسابات النطاق. وقالت Huntress إنها لا تستطيع تحديد عدد بيانات الاعتماد التي جُمعت، لكن اقتران موطئ قدم في Ahsay باستعلام بيانات اعتماد Veeam يشير إلى أن المشغّل كان مهتماً بالبنية التحتية للنسخ الاحتياطي عن قصد لا عن طريق المصادفة.

المصادر: The Hacker News