AhsayCBSへの侵入はWebシェル、暗号通貨マイナー、およびC2インプラントを展開

概要

脅威アクターはAhsayCBS管理ソフトウェアの脆弱性を悪用し、多段階の侵入を実行しました。この攻撃は、いくつかのJSPウェブシェルファミリー、リソースハイジャックに使用されるXMRigクリプトマイナー、永続的なコマンド＆コントロールのためのカスタムのPythonベースのインプラントを含んでいました。侵入にはトンネルユーティリティとリモートアクセスツールも組み込まれ、横方向の移動とデータの流出をサポートしました。

調査

Huntressは3台の侵害されたAhsayCBSサーバーを分析し、基本的な暗号採掘を超えて持続的なアクセスを確立するために進化した高度なオペレーターを特定しました。この調査では、ペイロードをPNG画像に隠すステガノグラフィーと、サンドボックス解析を妨げるために設計された環境キーが明らかになりました。証拠もまた、俳優が意図的にバックアップインフラストラクチャを標的にした可能性を示唆しており、潜在的に機密資格情報へのアクセスを狙っていました。

緩和策

組織は、悪用された認証バイパスとRCEの脆弱性を修正するため、v10およびv7-v9の公式のAhsayCBSホットフィックスを適用するべきです。管理者は、無許可のJSPファイルを確認するためにウェブディレクトリを監査し、異常なスケジュールされたタスクやWindows Defenderの除外をシステムで確認するべきです。インターネットに面したAhsayCBSの展開には、即時のパッチ適用が重要です。

対応策

侵害が検出された場合、組織は信頼できるバックアップから影響を受けたサーバーを完全に再イメージし、バックアップソフトウェア内またはそこからアクセス可能なすべての資格情報をローテーションするべきです。セキュリティチームは疑わしいファイルパターンや無許可のローカルアカウント（例： wdguest）を調査し、非ブラウザプロセスからのDNS-over-HTTPSトラフィックを監視するべきです。ハイパーバイザーとドメインアカウントの包括的な資格情報のローテーションも重要です。

シミュレーション実行

• 攻撃の物語 & コマンド: 敵対者はインターネットに公開されているAhsayCBSサーバーを特定しました。偵察を行った後、以前の悪用で使用された既知のウェブシェルを使用して足掛かりを得ようと試みます。攻撃者は細工されたHTTP GETリクエストを /nsmind.jspに送信します。このアクションは、特定された request_uri として定義されたパターンに一致することで、検出ルールを起動することを意図しています。

• 回帰テストスクリプト: このスクリプトは、攻撃者のリクエストをシミュレートし、ターゲットのウェブサーバーにHTTPリクエストを送信します。

  #!/bin/bash
  # AhsayCBSウェブシェル検出をトリガーするシミュレーションスクリプト
  TARGET_URL="http://localhost/nsmind.jsp"
  
  echo "[+] ウェブシェルアクセス試行をシミュレートしています: $TARGET_URL"
  curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL"
  echo "[+] リクエスト送信完了。 SIEMでの検出アラートを確認してください。"

• クリーンアップコマンド: これはログに基づいたシミュレーションであるため、サーバーにファイルは作成されません。しかし、「ノイズ」をログから削除するために、ログシステムがサポートするなら手動でシミュレーションアクセスエントリを削除するか、テストエントリとして認識するだけです。

  # ファイルは修正されていないため、クリーンアップ不要です。
  echo "[+] シミュレーション完了。 ファイルシステム上にはアーティファクトが残されていません。"