Հարձակվողները շահագործում են AhsayCBS-ի թույլ կողմերը՝ sandbox-ից խուսափող Python հետին դուռ տեղադրելու համար

Huntress հետազոտողները բացահայտել են հարձակում, որը շահագործել է AhsayCBS-ի երկու շտկված խոցելիություն՝ պահուստային սերվերներում Python ներդրված ծրագիր տեղադրելու համար։ 2026-ի հոկտեմբերին նկատված գործողությունը CVE-2026-105133 և CVE-2026-105134 խոցելիությունները օգտագործել է որպես շղթա՝ նույնականացումը շրջանցելու և կամայական հրամաններ կատարելու համար։ Ahsay Backup-ը շտկումները թողարկել է 2026-ի հոկտեմբերի կեսերին։

Խոցելիություններ և ներթափանցում

Հետազոտողները գնահատել են, որ երկու թույլ կողմերն օգտագործվել են որպես zero-day խոցելիություններ։ Կառավարվող անվտանգության հարթակը սկզբում նկատել է, որ սպառնալիքի գործողները կիրառել են արագ հարձակում՝ վեբ շելեր և XMRig կրիպտոարժույթային մայներներ տեղադրելու համար վտանգված համակարգերում։ 2026-ի հոկտեմբերի միջադեպը ավելի համբերատար էր՝ շելեր տեղադրվել էին մի քանի վայրերում, գործարկվել էին երկու տարբեր մայներ, պատրաստվել էին թունելավորման գործիքներ, և պահուստային սերվերներում տեղադրվել էր հատուկ ներդրված ծրագիր, ըստ Huntress հետազոտող Ջոնաթան Սեմոնի։

Վեբ շելեր և մայներներ

Անհայտ սպառնալիքի գործողը թողել է Jakarta Server Pages-ի (JSP, նախկինում JavaServer Pages) վեբ շելերի հինգ ընտանիք։ Դրանց թվում էին nsmind.jsp-ը՝ նկարագրված որպես ստորագրված API՝ հրամանների կատարման և ֆայլերի փոխանցման հնարավորություններով՝ exec, cd, upload և download պարամետրերով; AhsayCBS.jsp-ը՝ բեռնիչ, որը թաքցնում է կոդավորված օգտակար բեռները PNG պատկերների պիքսելային տվյալներում և գործարկում դրանք հիշողությունից; բանալիով հրամանային շել, որը համեմատում է ներկառուցված բանալին իր պատճենի հետ և համընկնելու դեպքում գործարկում հրամաններ cmd.exe-ով; բանալիով շել՝ ֆայլի գրառմամբ, որը կարող է Base64-ով վերծանված բայթեր գրել ծառայողական հաշվի հասանելի ցանկացած ուղու վրա; և status կամ st ֆայլեր՝ վեց պատահական տառերով, օրինակ st_jgaejj.jsp, որոնք օգտագործվում են հրամաններ գործարկելու, ուղիները ռեկուրսիվ ջնջելու և իրենց ջնջելու համար՝ cmd, del և rm պարամետրերով։

AhsayCBS.jsp-ի՝ որպես ներքին պատկերի նախադիտման ծառայության, քողարկումը հասել է մինչև մեկնաբանության բլոկ, որը նկարագրում է ջրանիշի վերջնակետը, հայտնել է Huntress-ը։ Վեբ շելը օգտագործել է միայն JSP իմպլիցիտ օբյեկտներ և լրիվ որակավորված դասերի անուններ, ինչը նշանակում է, որ այն կկոմպիլացվի ցանկացած servlet container-ում և JDK 6-ի և հետագա տարբերակներում։ Microsoft Edge-ի դիմակով XMRig մայներից բացի, հարձակումը տրամադրել է երկրորդ XMRig մայները՝ kvm-agent.exe-ը, որը վերագործարկվում է ամեն րոպե SYSTEM պլանավորված առաջադրանքով և օգտագործում է այլ դրամապանակ և մայնինգի ավազան։

Sandbox-ից խուսափող Python հետին դուռ

Python հետին դուռը՝ main.py-ը, նախագծված է գործարկվելու միայն այն հոսթում, որտեղ տեղակայված է, և կանխելու գործարկումը sandbox-ում կամ վերլուծողի համակարգչում։ Այն հաշվում է հոսթի MachineGuid-ի SHA-256 հեշը և փնտրում նույն անունով նշիչ ֆայլ նույն գրացուցակում, որտեղ գտնվում է Python ներդրված ծրագիրը։ Այնուհետև այն հիշողությունից գործարկում է ներկառուցված x64 DLL, որը կապ է հաստատում creepexplosiondarknight[.]com հրամանատրության և վերահսկման սերվերի հետ։

Հարձակման շղթան նաև կարգավորում է Microsoft Defender-ի բացառումները։ Այն տրամադրում է թունելավորման գործիքներ՝ GOST և Chisel, ինչպես նաև օրինական հեռակա մուտքի ծրագրեր՝ AnyDesk, Atera և Splashtop՝ կայուն մուտք ապահովելու համար։

Պահուստային ենթակառուցվածք

Ապացույցները ցույց են տալիս, որ սպառնալիքի գործողը կարող է թիրախավորած լինել պահուստներ պահող կամ կառավարող սերվերները։ Նույն միջավայրի հարակից Veeam սերվերում Huntress-ը նկատել է NetExec-ի Veeam հավատարմագրերի գողության մոդուլին համապատասխան հրաման՝ WMI-ի միջոցով հեռակա կերպով գործարկված PowerShell սկրիպտը, երևում է, հարցում էր VeeamBackup PostgreSQL տվյալների բազան՝ պահված հավատարմագրերի համար, և վերծանում դրանք DPAPI-ով։

Պահուստային ծրագրերը պահում են հիպերվիզորների, պահոցների և դոմենային հաշիվների հավատարմագրերը։ Huntress-ը հայտնել է, որ չի կարող ասել, թե քանի հավատարմագիր է վերցվել, սակայն Ahsay հենակետի և Veeam հավատարմագրերի հարցման զուգակցումը ցույց տվեց, որ օպերատորը նպատակաուղղված հետաքրքրված էր պահուստային ենթակառուցվածքով, ոչ թե պատահականորեն։

Աղբյուրներ՝ The Hacker News