AhsayCBS バックアップサーバーの脆弱性を悪用した攻撃者が、5種類のWebシェル、暗号資産マイナー、Pythonインプラントを設置し、アクセスを維持していたことが明らかになりました。
被害に遭った組織が侵害されたのは、セキュリティ修正プログラム（ホットフィックス）が公開される前の2026年10月8日から10月11日にかけてです。
この侵入には、認証バイパスの脆弱性であるCVE-2026-105133と、/rps/api/json/UpdateReceivers.doを通じて認証なしにSYSTEM権限でのリモートコード実行を可能にするCVE-2026-105134が使われました。
Huntressはこれまでに、この攻撃チェーンがWebシェルや、Microsoft Edgeのコンポーネントに偽装したXMRigマイナーと関連していると指摘していました。
今回の調査で明らかになったのは、当初のマイニング攻撃よりも大規模な攻撃活動の実態です。攻撃者は複数のサーバーにアクセス用ツールを複数設置し、セキュリティ対策を弱体化させたうえ、バックアップ基盤が保持する認証情報を調べていました。
調査チームは、AhsayCBSのwebapps\cbsやwebapps\rpsなどのディレクトリ内で、悪意のあるJSPファイルを発見しました。
基本的なシェルは、ハードコードされたパスワードを確認してからcmd.exe /cにコマンドを渡し、結果をBase64形式で返します。パスワードが誤っていると404レスポンスを返すため、簡易的なスキャンでは見つかりにくくなっていました。
別の系統ではファイルのアップロード機能が追加されていました。status_やst_といった亜種は、コマンド実行、環境の調査、自己削除に対応しています。ディレクトリごと消去できるものもあり、ファイルが残っていないというだけでは、過去に侵害されていた可能性を否定できません。
より高度なnsmind.jspは、APIキー、タイムスタンプ、一意のnonce、HMAC-SHA256署名を使ってリクエストを認証し、リプレイ攻撃を防いでいました。
コマンド実行のほか、最大4GBまでのチャンク単位のファイル転送といった機能を備えています。ただし、攻撃者がダウンロード機能を使ってデータを盗んだことを示すログは、研究者らの調査では見つかりませんでした。
一方、AhsayCBS.jspは、PNG画像のピクセルデータに隠された暗号化コードを取り出します。AESでペイロードを復号し、Javaクラスをメモリ上に読み込みます。
応答は暗号化されて画像の中に収めて返されるため、不正な通信のやり取りが画像のトラフィックのように見えます。研究者らはこのローダーを解析しましたが、ペイロードがどのコマンドを実行するのかは確認できていません。
攻撃者はさらに、SYSTEMプロファイル配下の組み込みPythonディストリビューション内にmain.pyを設置しました。レジストリのRunキーがexplorer.exe経由でこのインプラントを起動します。
このスクリプトは、Base64、LZMA、マーシャル化されたPythonコードを順に展開します。処理を続ける前に、ホストのMachineGuidのSHA-256ハッシュから導いたマーカーファイル名が存在するかを確認します。マーカーがなければ終了するため、実行は想定されたマシンだけに限定されます。
確認を通過すると、インプラントは673KBのブロブを実行可能メモリに読み込みます。リフレクティブローダーが、組み込まれたx64 DLLをマッピングします。このDLLには、コマンド＆コントロール（C2）のアドレスhxxps://creepexplosiondarknight[.]com/dが含まれていました。マルウェアのファミリーや、接続後の挙動は確認されていません。
そのほかにも、2つ目のXMRigマイナー、これを1分ごとに再起動するSYSTEM権限のスケジュールタスク、トンネリングツール、リモートアクセスソフトウェア、広範なMicrosoft Defenderの除外設定が見つかりました。
関連するVeeamサーバーでも、保存されたバックアップ認証情報の照会と復号に合致する活動が確認されましたが、取得された認証情報の量は不明だと、Huntressは述べています。
注記： IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（[.]など）しています。元に戻す際は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNを導入している16,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしましょう。チームで試してみる
翻訳元: https://cyberpress.org/ahsaycbs-attacks-deploy-backdoors/
