თავდამსხმელები AhsayCBS-ის ხარვეზებს სენდბოქსის ავლით მომუშავე Python-ის ბექდორის დასანერგად იყენებენ

Huntress-ის მკვლევრებმა აღწერეს შეტევა, რომელმაც AhsayCBS-ის ორი გამოსწორებული ხარვეზი გამოიყენა სარეზერვო სერვერებზე Python-ის იმპლანტის დასანერგად. 2026 წლის ოქტომბერში დაფიქსირებული აქტივობა CVE-2026-105133 და CVE-2026-105134 ჯაჭვის სახით იყენებდა აუთენტიფიკაციის გვერდის ასავლელად და თვითნებური ბრძანებების შესასრულებლად. პაჩები Ahsay Backup-მა ოქტომბრის შუაში გამოუშვა.

ხარვეზები და შეჭრა

მკვლევრების შეფასებით, ორივე ხარვეზი ნულოვანი დღის სახით იქნა იარაღად გამოყენებული. მართული უსაფრთხოების პლატფორმამ პირველად შენიშნა, რომ აქტორები „დაარტყი და გაიქეცი“ მიდგომით აყენებდნენ ვებ-შელებსა და XMRig-ის მაინერებს. Huntress-ის მკვლევრის ჯონათან სემონის თქმით, ოქტომბრის ინციდენტი უფრო მოთმინებით მიმდინარეობდა: შელები რამდენიმე ადგილას ჩარგო, ორი სხვადასხვა მაინერი გაეშვა, გვირაბირების ხელსაწყოები მომზადდა, ხოლო სარეზერვო ასლების შენახვაზე პასუხისმგებელ სერვერებზე მორგებული იმპლანტი დაყენდა.

ვებ-შელები და მაინერები

უცნობმა აქტორმა დატოვა Jakarta Server Pages (JSP) ვებ-შელების ხუთი ოჯახი: nsmind.jsp ხელმოწერილი API-ით, რომელსაც exec, cd, upload და download პარამეტრებით ბრძანებების შესრულება და ფაილების გადაცემა შეუძლია; AhsayCBS.jsp, ჩამტვირთავი, რომელიც დაშიფრულ პეილოუდებს PNG სურათების პიქსელებში მალავს და მეხსიერებიდან უშვებს; გასაღებიანი შელი, რომელიც ჩაშენებულ გასაღებს საკუთარ ასლს ადარებს და დამთხვევისას ბრძანებებს cmd.exe-ით ასრულებს; გასაღებიანი შელი ფაილში ჩაწერის ფუნქციით, რომელსაც Base64-დან დეკოდირებული ბაიტების ჩაწერა შეუძლია სერვისის ანგარიშისთვის ხელმისაწვდომ ნებისმიერ გზაზე და დამატებითი ხელსაწყოების განლაგება; და status ან st ფაილები ექვსი შემთხვევითი ასოთი, მაგალითად st_jgaejj.jsp, ბრძანებების შესრულების, გზების რეკურსიული წაშლისა და თვითწაშლისთვის cmd, del და rm პარამეტრებით.

Huntress-ის ცნობით, AhsayCBS.jsp-ის შენიღბვა შიდა სურათების გადახედვის სერვისად კომენტარების ბლოკამდე ვრცელდება, რომელიც წყლის ნიშნის ენდპოინტს აღწერს. შელი მხოლოდ JSP-ის იმპლიციტურ ობიექტებსა და სრულად კვალიფიცირებული კლასების სახელებს იყენებდა, ამიტომ კომპილირდება ნებისმიერ სერვლეტ-კონტეინერზე და Java Development Kit (JDK) 6-სა და უფრო ახალ ვერსიებზე. Microsoft Edge-ად შენიღბული XMRig-ის მაინერის გარდა, შეტევამ მეორე მაინერიც მოიტანა, kvm-agent.exe, რომელიც SYSTEM-ის დაგეგმილი ამოცანით ყოველ წუთს გადაიტვირთება და სხვა საფულესა და პულს იყენებს.

სენდბოქსის ავლით მომუშავე Python-ის ბექდორი

Python-ის ბექდორი main.py მხოლოდ იმ ჰოსტზე მუშაობს, სადაც განლაგებულია, და თავიდან იცილებს სენდბოქსში ან ანალიტიკოსის მანქანაზე გაშვებას. ის ითვლის ჰოსტის MachineGuid-ის SHA-256 ჰეშს და ეძებს იმავე სახელის მარკერ-ფაილს იმავე დირექტორიაში, სადაც იმპლანტია. შემდეგ მეხსიერებაში უშვებს ჩაშენებულ x64 DLL-ს, რომელიც უკავშირდება ბრძანებისა და კონტროლის სერვერს, რომელიც მისამართზე creepexplosiondarknight[.]com მდებარეობს.

ჯაჭვი ასევე აყენებს Microsoft Defender-ის გამონაკლისებს და ავრცელებს გვირაბირების ხელსაწყოებს, GOST-სა და Chisel-ს, და ლეგიტიმურ დისტანციური წვდომის პროგრამებს, AnyDesk-ს, Atera-სა და Splashtop-ს, მუდმივი წვდომის დასამყარებლად.

ფოკუსი სარეზერვო ინფრასტრუქტურაზე

მტკიცებულებები მიუთითებს, რომ აქტორი შესაძლოა მიზნად ისახავდა სერვერებს, რომლებიც სარეზერვო ასლებს ინახავს ან მართავს. იმავე გარემოში მყოფ Veeam-ის სერვერზე Huntress-მა დააფიქსირა ბრძანება, რომელიც NetExec-ის Veeam-ის რწმუნებულებების მოპარვის მოდულს შეესაბამება: WMI-ით დისტანციურად გაშვებული PowerShell-ის სკრიპტი VeeamBackup PostgreSQL მონაცემთა ბაზაში შენახულ რწმუნებულებებს ეძებდა და DPAPI-ით გაშიფრავდა.

სარეზერვო პროგრამები ინახავს ჰიპერვიზორების, რეპოზიტორიებისა და დომენური ანგარიშების რწმუნებულებებს. Huntress-მა აღნიშნა, რომ ვერ იტყვის, რამდენი რწმუნებულება იქნა მოპოვებული, თუმცა Ahsay-ში დამკვიდრებისა და Veeam-ის რწმუნებულებებზე მოთხოვნის შერწყმა იმაზე მიუთითებს, რომ ოპერატორი სარეზერვო ინფრასტრუქტურით განზრახ დაინტერესდა.

წყაროები: The Hacker News