AhsayCBS-Einbruch setzt Webshells, CryptoMiner und C2-Implantat ein

Zusammenfassung

Bedrohungsakteure nutzten Schwachstellen in der AhsayCBS-Verwaltungssoftware aus, um eine mehrstufige Intrusion durchzuführen. Der Angriff umfasste mehrere JSP-Webshell-Familien, einen XMRig-Cryptominer zur Ressourcenausnutzung und ein maßgeschneidertes Python-basiertes Implantat für beständige Befehls- und Kontrolloperationen. Die Intrusion beinhaltete auch Tunneling-Utilities und Fernzugriffstools zur Unterstützung der seitlichen Bewegung und Datenexfiltration.

Untersuchung

Huntress analysierte drei kompromittierte AhsayCBS-Server und identifizierte einen fortgeschrittenen Operator, der über einfaches Cryptomining hinausging, um beständigen Zugriff zu etablieren. Die Untersuchung deckte Steganographie auf, die verwendet wurde, um Nutzlasten in PNG-Bildern zu verbergen, und umgebungsspezifische Schlüsselung, die dazu konzipiert war, Sandbox-Analysen zu erschweren. Hinweise deuteten auch darauf hin, dass der Akteur absichtlich Backup-Infrastrukturen angriff, möglicherweise um auf sensible Anmeldeinformationen zuzugreifen.

Abmilderung

Organisationen sollten die offiziellen AhsayCBS-Hotfixes für v10 und v7-v9 anwenden, um die ausgenutzten Authentifizierungsbypässe und RCE-Schwachstellen zu beheben. Administratoren sollten Webverzeichnisse auf unerlaubte JSP-Dateien prüfen und Systeme auf ungewöhnliche geplante Aufgaben oder Windows Defender-Ausschlüsse überprüfen. Sofortiges Patchen ist für jede internetfähige AhsayCBS-Installation unerlässlich.

Antwort

Wenn ein Kompromiss festgestellt wird, sollten Organisationen betroffene Server vollständig aus vertrauenswürdigen Backups neu aufsetzen und alle in der Backup-Software gespeicherten oder zugänglichen Anmeldeinformationen rotieren. Sicherheitsteams sollten nach verdächtigen Dateimustern, unerlaubten lokalen Konten wie wdguest, und DNS-over-HTTPS-Verkehr von nicht-Browser-Prozessen suchen. Eine umfassende Rotation von Anmeldeinformationen für Hypervisoren und Domain-Konten ist ebenfalls entscheidend.

Simulationsausführung

• Angriffserzählung & Befehle: Ein Gegner hat einen AhsayCBS-Server identifiziert, der dem Internet ausgesetzt ist. Nach einer Aufklärung versuchen sie, eine bekannte Webshell zu verwenden, die in früheren Ausnutzungen eingesetzt wurde, um sich Zugang zu verschaffen. Der Angreifer sendet eine gestaltete HTTP-GET-Anfrage an /nsmind.jsp. Diese Aktion soll die Erkennungsregel auslösen, indem sie das spezifische request_uri -Muster in der Logik trifft.

• Regressionstest-Skript: Dieses Skript simuliert die Anfrage des Angreifers, indem es eine HTTP-Anfrage an den Ziel-Webserver sendet.

  #!/bin/bash
  # Simulationsskript zur Auslösung der AhsayCBS-Webshell-Erkennung
  TARGET_URL="http://localhost/nsmind.jsp"
  
  echo "[+] Versuch des Zugriffs auf Webshell zu simulieren: $TARGET_URL"
  curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL"
  echo "[+] Anfrage gesendet. Prüfen Sie SIEM auf Erkennungsalarm."

• Aufräumbefehle: Da dies eine logbasierte Simulation ist, werden keine Dateien auf dem Server erstellt; jedoch können Sie zur Bereinigung des „Rauschens“ in den Protokollen den simulierten Zugriffseintrag manuell löschen, falls Ihr Protokollierungssystem dies unterstützt, oder ihn einfach als Testeintrag anerkennen.

  # Keine Bereinigung erforderlich, da keine Dateien modifiziert wurden.
  echo "[+] Simulation abgeschlossen. Keine Artefakte auf dem Dateisystem hinterlassen."