Investigadores descubrieron un ataque que explotó dos vulnerabilidades en AhsayCBS para ejecutar comandos y desplegar implantes de Python y mineros de criptomonedas. Los atacantes utilizaron diversas webshells y herramientas de acceso remoto para comprometer servidores de respaldo y robar credenciales críticas. Actualmente, Ahsay Backup ya ha lanzado los parches necesarios para corregir estas fallas de seguridad.

Investigadores de ciberseguridad han revelado detalles de un ataque que explotó dos vulnerabilidades ya parcheadas en AhsayCBS para desplegar un implante basado en Python.

La actividad, observada por Huntress en octubre de 2026, implica la explotación de una cadena compuesta por CVE-2026-105133 y CVE-2026-105134 para saltarse la autenticación y ejecutar comandos arbitrarios en los sistemas afectados. Los parches para ambas vulnerabilidades fueron publicados por Ahsay Backup a mediados de octubre de 2026.

Se estima que las dos vulnerabilidades fueron utilizadas como zero-days, y la plataforma de seguridad gestionada observó primero que los actores de amenazas empleaban un enfoque rápido de "golpear y llevar" para desplegar web shells y mineros de criptomonedas XMRig en los sistemas comprometidos.

"Sin embargo, este incidente refleja una intrusión mucho mayor y con más paciencia; el operador plantó shells en varios lugares, ejecutó dos mineros diferentes, preparó herramientas de tunelización e instaló un implante personalizado, todo en servidores cuya función es almacenar copias de seguridad", afirmó el investigador de Huntress, Jonathan Semon.

Detalles técnicos del ataque

Específicamente, se dice que el actor de amenazas desconocido dejó cinco familias de web shells de Jakarta Server Pages (JSP, anteriormente JavaServer Pages):

* nsmind.jsp, una API firmada con capacidades de ejecución de comandos y transferencia de archivos utilizando parámetros de exec, cd, upload y download.
* AhsayCBS.jsp, un cargador que oculta cargas útiles cifradas en los datos de píxeles de imágenes PNG y las ejecuta desde la memoria.
* Keyed command shell, que compara una clave codificada rígidamente con su propia copia y, si coincide, ejecuta el comando a través de "cmd.exe".
* Keyed shell con escritura de archivos, que amplía la web shell de comandos con clave con la capacidad de escribir bytes decodificados en Base64 en cualquier ruta a la que la cuenta de servicio pueda acceder y desplegar más herramientas.
* status_seis_letras_aleatorias.jsp o st_seis_letras_aleatorias>.jsp (por ejemplo, st_jgaejj.jsp), que se utilizan para ejecutar comandos, eliminar recursivamente cualquier ruta proporcionada como entrada y eliminarse a sí mismos utilizando parámetros cmd, del y rm.

"El disfraz de [AhsayCBS.jsp] como un servicio interno de vista previa de imágenes llegó incluso a incluir un bloque de comentarios que describía un punto final de marca de agua", explicó Huntress. "La web shell utilizaba solo objetos implícitos de JSP y nombres de clase totalmente calificados, lo que significa que se compilaría en cualquier contenedor de servlets y en el Java Development Kit (JDK) 6 y posteriores".

El ataque, además de desplegar un minero XMRig disfrazado de Microsoft Edge, ha resultado entregar un segundo minero XMRig ("kvm-agent.exe") que se reinicia cada minuto a través de una tarea programada de SYSTEM, utilizando una billetera y un grupo de minería diferentes.

El aspecto más notable de la intrusión gira en torno a la puerta trasera de Python ("main.py"), que está diseñada para ejecutarse únicamente en el host donde se encuentra y evitar que se ejecute dentro de un sandbox o en la máquina de un analista.

Logra esto computando el hash criptográfico SHA-256 del MachineGuid del host y buscando un archivo marcador con el mismo nombre en el mismo directorio donde se aloja el implante de Python, para luego ejecutar una DLL x64 embebida en memoria que contacta con un servidor de comando y control (C2) ("creepexplosiondarknight[.]com").

En un intento de pasar desapercibido, la cadena de ataque también configura exclusiones en Microsoft Defender, mientras sirve herramientas de tunelización (GOST y Chisel) y software de acceso remoto legítimo (AnyDesk, Atera y Splashtop) para establecer un acceso persistente.

La evidencia indica que el actor de amenazas puede haber tenido como objetivo servidores que almacenan o gestionan copias de seguridad.

"En un servidor Veeam relacionado en el mismo entorno, también vimos un comando consistente con el módulo de robo de credenciales de Veeam de NetExec: un script de PowerShell, aparentemente lanzado remotamente a través de WMI, que consultaba la base de datos PostgreSQL de VeeamBackup en busca de credenciales almacenadas y las descifraba con DPAPI", dijo Semon.

"El software de respaldo contiene credenciales de hipervisores, repositorios y cuentas de dominio. No podemos decir cuántas de esas credenciales fueron recuperadas, pero la combinación de un punto de apoyo en Ahsay con una consulta de credenciales de Veeam sugiere que el operador estaba interesado en la infraestructura de respaldo a propósito, no por accidente".

Fuente:
THN