תוקפים מנצלים פגמי AhsayCBS לפריסת backdoor פייתון העוקף sandbox

חוקרי Huntress חשפו מתקפה שניצלה שתי פגיעויות מתוקנות ב-AhsayCBS לפריסת השתלה מבוססת Python בשרתי גיבוי. הפעילות, שנצפתה באוקטובר 2026, השתמשה ב-CVE-2026-105133 וב-CVE-2026-105134 בשרשרת כדי לעקוף אימות ולבצע פקודות שרירותיות. תיקונים שוחררו על ידי Ahsay Backup באמצע אוקטובר 2026.

פגיעויות וחדירה

החוקרים העריכו כי שתי הפגיעויות נוצלו כ-zero-days. פלטפורמת האבטחה הניהולית ראתה תחילה שחקני איום משתמשים בגישה של smash-and-grab כדי לפרוס web shells וכרייני cryptocurrency של XMRig במערכות שנפרצו. האירוע של אוקטובר 2026 היה סבלני יותר, עם shells שנטמנו בכמה מקומות, הפעלה של שני כריינים שונים, הצבת כלי tunneling, והתקנת השתלה מותאמת אישית בשרתים שתפקידם להחזיק גיבויים, לפי חוקר Huntress Jonathan Semon.

Web shells וכריינים

שחקן האיום הלא ידוע השאיר חמש משפחות של Jakarta Server Pages (JSP, לשעבר JavaServer Pages) web shells. הן כללו nsmind.jsp, המתואר כ-API חתום עם יכולות ביצוע פקודות והעברת קבצים באמצעות פרמטרים exec, cd, upload ו-download; AhsayCBS.jsp, loader המסתיר payloads מוצפנים בנתוני הפיקסלים של תמונות PNG ומריץ אותם מהזיכרון; shell עם key שמשווה key מקודד קשיח מול העתק של עצמו ומריץ פקודות דרך cmd.exe אם יש התאמה; shell עם key וכתיבה לקובץ שיכול לכתוב בתים מפוענחים מ-Base64 לכל נתיב שחשבון השירות יכול להגיע אליו; וקבצי status או st עם שש אותיות אקראיות, כגון st_jgaejj.jsp, המשמשים להרצת פקודות, מחיקה רקורסיבית של נתיבים ומחיקה עצמית באמצעות פרמטרים cmd, del ו-rm.

ההסוואה של AhsayCBS.jsp כשירות תצוגה פנימי של תמונות התרחבה עד בלוק הערות המתאר watermark endpoint, אמרה Huntress. ה-web shell השתמש רק באובייקטים המשתמעים של JSP ובשמות מחלקות מלאים, מה שפירושו שהוא היה מתקמפל בכל servlet container וב-Java Development Kit (JDK) 6 ואילך. בנוסף ל-XMRig miner המתחזה ל-Microsoft Edge, המתקפה מסרה XMRig miner שני, kvm-agent.exe, שמופעל מחדש כל דקה באמצעות scheduled task של SYSTEM ומשתמש בארנק וב-mining pool שונים.

backdoor פייתון המתחמק מ-sandbox

ה-backdoor main.py נועד לפעול רק במארח שבו הוצב, ולמנוע את הרצתו בתוך sandbox או במחשב של אנליסט. הוא עושה זאת על ידי חישוב גיבוב SHA-256 של ה-MachineGuid של המארח וחיפוש אחר קובץ סמן באותו שם בתיקייה שבה נמצא ה-implant של Python. לאחר מכן הוא מריץ בזיכרון DLL מוטמע בארכיטקטורת x64 שמתקשר לשרת פיקוד ושליטה בכתובת creepexplosiondarknight[.]com.

שרשרת המתקפה מגדירה גם חריגות ב-Microsoft Defender, ומגישה כלי tunneling בשם GOST ו-Chisel ותוכנות גישה מרחוק חוקיות, AnyDesk, Atera ו-Splashtop, לביסוס גישה מתמשכת.

התמקדות בתשתית גיבוי

ראיות מעידות כי ייתכן ששחקן האיום כיוון לשרתים המאחסנים או מנהלים גיבויים. בשרת Veeam קשור באותה סביבה, Huntress ראתה פקודה התואמת למודול גניבת אישורי Veeam של NetExec: סקריפט PowerShell, שנראה שהושק מרחוק דרך WMI, שאל את מסד הנתונים PostgreSQL של VeeamBackup אחר אישורים מאוחסנים ופענח אותם באמצעות DPAPI.

תוכנת גיבוי מחזיקה אישורים להיפרוויזורים, למאגרים ולחשבונות דומיין. Huntress אמרה שלא ניתן לומר כמה אישורים נשלפו, אך השילוב של נוכחות Ahsay עם שאילתת אישורים של Veeam רמז שהאופרטור עניין בתשתית גיבוי בכוונה, ולא במקרה.

מקורות: The Hacker News