Aanvallers exploiteerden twee gepatchte kwetsbaarheden in AhsayCBS om een Python backdoor te installeren die sandbox-omzeiling toepast en meerdere web shells inzet.
Cybersecurityonderzoekers hebben een aanval onthuld waarbij twee inmiddels gepatchte kwetsbaarheden in AhsayCBS werden misbruikt om een Python-gebaseerde implantaat te plaatsen. Deze aanval, geconstateerd door Huntress in oktober 2026, maakte gebruik van een keten van kwetsbaarheden, CVE-2026-105133 en CVE-2026-105134, om authenticatie te omzeilen en willekeurige commando's uit te voeren op getroffen systemen. Ahsay Backup bracht halverwege oktober 2026 patches uit voor deze kwetsbaarheden.
De aanvallers gebruikten de kwetsbaarheden aanvankelijk voor snelle acties zoals het plaatsen van web shells en het installeren van XMRig cryptocurrency miners. Volgens Huntress-onderzoeker Jonathan Semon ging het echter om een veel grotere en gerichte inbraak. De aanvaller plaatste meerdere web shells, draaide verschillende miners, zette tunnelingtools in en installeerde een aangepaste implantaat op servers die bedoeld zijn voor het opslaan van back-ups.
Specifiek werden vijf families van Jakarta Server Pages (JSP) web shells aangetroffen, waaronder een loader die versleutelde payloads in PNG-afbeeldingen verbergt en deze vanuit het geheugen uitvoert. Andere shells bevatten functies voor command execution, bestandsoverdracht en het schrijven van Base64-gecodeerde bestanden. Deze web shells waren zodanig ontworpen dat ze op elke servletcontainer en Java Development Kit (JDK) 6 of hoger konden draaien. De aanval leverde daarnaast twee verschillende XMRig miners af, waarvan een zich voordeed als Microsoft Edge en de ander via een SYSTEM scheduled task elke minuut opnieuw werd gestart.
Het opvallendste onderdeel van de aanval is een Python backdoor ('main.py') die alleen op de gecompromitteerde host draait en sandbox-executie voorkomt. Dit doet het door de SHA-256 hash van de MachineGuid van het systeem te berekenen en te controleren op een marker-bestand met dezelfde naam in de directory van de implantaat. Vervolgens wordt een embedded x64 DLL in het geheugen uitgevoerd die verbinding maakt met een command-and-control server. Om detectie te vermijden, configureert de aanval ook uitzonderingen in Microsoft Defender en zet tunnelingtools (GOST en Chisel) en legitieme remote access software in zoals AnyDesk, Atera en Splashtop om persistente toegang te behouden.
Er zijn aanwijzingen dat de aanvaller servers met back-ups als doelwit had. Op een gerelateerd Veeam-server in hetzelfde netwerk werd een PowerShell-script aangetroffen dat via WMI werd uitgevoerd en credentials uit de VeeamBackup PostgreSQL database ophaalde en ontsleutelde met DPAPI. Dit wijst op het stelen van inloggegevens die gebruikt worden voor hypervisors, repositories en domeinaccounts, wat de impact van de aanval vergroot.
