Вторгнення AhsayCBS: Встановлення вебшелів, криптомайнера та C2-імпланта

Резюме

Зловмисники скористалися уразливостями в програмному забезпеченні керування AhsayCBS для здійснення багатоступеневого вторгнення. Атака включала кілька сімейств веб-шелл JSP, криптомайнер XMRig для викрадення ресурсів і кастомний імплант на базі Python для стійкого управління і контролю. Вони також використовували утиліти тунелювання і інструменти дистанційного доступу для підтримки латерального переміщення і ексфільтрації даних.

Розслідування

Huntress проаналізували три компрометовані сервери AhsayCBS і виявили просунутого оператора, який перейшов за межі основного криптомайнингу для встановлення стійкого доступу. Розслідування виявило стеганографію для приховування корисного навантаження в PNG-образах і екологічні ключі для ускладнення аналізу в пісочницях. Документи вказують на цілеспрямовану атаку на інфраструктуру бекапу для можливого доступу до чутливих облікових даних.

Пом’якшення

Організаціям слід застосовувати офіційні виправлення для AhsayCBS версій v10 і v7-v9 для усунення уразливостей обходу автентифікації та RCE, які були використані. Адміністраторам слід перевірити веб-директорії на наявність несанкціонованих файлів JSP і переглянути системи на предмет незвичайних запланованих завдань або виключень у Windows Defender. Негайне застосування патчів є важливим для будь-якого розгортання AhsayCBS, доступного з інтернету.

Відповідь

Коли виявлено компрометацію, організаціям слід повністю пересилати зображення серверів з надійних резервних копій і замінювати всі облікові дані, збережені у бек-ап програмному забезпеченні або доступні через нього. Команди безпеки повинні шукати підозрілі файлові шаблони, несанкціоновані локальні облікові записи, такі як wdguest, і трафік DNS-over-HTTPS з процесів, відмінних від браузерів. Також важливе ротація облікових даних гіпервізорів і облікових записів домену.

Виконання симуляції

• Опис атаки та команди: Зловмисник ідентифікував сервер AhsayCBS, доступний через інтернет. Після проведення розвідки, вони намагаються використати відомий веб-шелл з попередніх експлуатацій для того, щоб закріпитися. Нападник надсилає створений запит HTTP GET до /nsmind.jsp. Ця дія призначена для запуску правила виявлення шляхом потрапляння на специфічний request_uri шаблон, визначений у логіці.

• Скрипт регресійного тесту: Цей скрипт імітує запит атакуючого шляхом відправлення запиту HTTP до цільового веб-сервера.

  #!/bin/bash
  # Симуляційний скрипт для активації виявлення веб-шелла AhsayCBS
  TARGET_URL="http://localhost/nsmind.jsp"
  
  echo "[+] Доступна імітація спроби підключення до веб-шелла: $TARGET_URL"
  curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL"
  echo "[+] Запит відправлено. Перевірте SIEM для повідомлення про виявлення."

• Команди очистки: Оскільки це симуляція на основі логів, жодні файли не створюються на сервері, проте для стирання “шуму” у логах, ви можете вручну видалити запис, що імітується, якщо ваша система логування це підтримує, або просто визнати його як тестовий запис.

  # Очищення не потрібне, оскільки файли не були змінені.
  echo "[+] Симуляція завершена. Жодних артефактів не залишилося на файловій системі."