Włamanie do AhsayCBS wdraża webshells, kryptopłatnik i implant C2

Podsumowanie

Złośliwi aktorzy wykorzystali luki w oprogramowaniu zarządzającym AhsayCBS, aby przeprowadzić wieloetapowe włamanie. Atak obejmował kilka rodzin webshelli JSP, kryptominer XMRig używany do przechwytywania zasobów oraz niestandardowy implant oparty na Pythonie do trwałego dowodzenia i kontroli. Włamanie obejmowało także narzędzia tunelowania i oprogramowanie zdalnego dostępu wspierające ruch lateralny i exfiltrowanie danych.

Śledztwo

Huntress przeanalizował trzy skompromitowane serwery AhsayCBS i zidentyfikował zaawansowanego operatora, który przeszedł od prostego kopania kryptowalut do ustanowienia trwałego dostępu. Śledztwo ujawniło użycie steganografii do ukrywania ładunków w obrazach PNG oraz kluczy środowiskowych zaprojektowanych do utrudnienia analizy w piaskownicy. Dowody sugerowały również, że aktor celowo atakował infrastrukturę backupu, potencjalnie w celu uzyskania dostępu do wrażliwych danych logowania.

Środki zaradcze

Organizacje powinny zastosować oficjalne poprawki AhsayCBS dla wersji v10 oraz v7-v9, aby naprawić wykorzystane luki w autoryzacji i lukach RCE. Administratorzy powinni przeprowadzić audyt katalogów sieciowych w poszukiwaniu nieautoryzowanych plików JSP oraz przeglądać systemy pod kątem nietypowych zadanych zadań lub wykluczeń w Windows Defender. Natychmiastowe łatanie jest kluczowe dla każdej wdrożenia AhsayCBS dostępnego z internetu.

Odpowiedź

W przypadku wykrycia kompromitacji organizacje powinny całkowicie ponownie okazać zaatakowane serwery z zaufanych kopii zapasowych oraz wymienić wszystkie dane logowania przechowywane lub dostępne przez oprogramowanie do tworzenia kopii zapasowych. Zespoły ds. bezpieczeństwa powinny poszukiwać podejrzanych wzorców plików, nieautoryzowanych lokalnych kont, takich jak wdguest, oraz ruchu DNS-over-HTTPS pochodzącego z procesów innych niż przeglądarka. Kompleksowa zmiana danych logowania dla hipernadzorców i kont domenowych jest również kluczowa.

Wykonanie Symulacji

• Narracja Ataku i Komendy: Przeciwnik zidentyfikował odkryty w Internecie serwer AhsayCBS. Po przeprowadzeniu rozpoznania próbuje użyć znanego webshella, wykorzystywanego w poprzednich eksploatacjach, aby uzyskać punkt zaczepienia. Atakujący wysyła spreparowane żądanie HTTP GET do /nsmind.jsp. Działanie to ma na celu wywołanie reguły detekcji poprzez trafienie w określony wzorzec request_uri zdefiniowany w logice.

• Skrypt Testów Regresji: Ten skrypt symuluje żądanie atakującego przez wysłanie żądania HTTP do docelowego serwera web.

  #!/bin/bash
  # Skrypt symulacyjny do wywołania detekcji Webshell AhsayCBS
  TARGET_URL="http://localhost/nsmind.jsp"
  
  echo "[+] Symulowanie próby dostępu do webshell: $TARGET_URL"
  curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL"
  echo "[+] Żądanie wysłane. Sprawdź SIEM pod kątem alertu detekcji."

• Komendy Czyszczące: Ponieważ jest to symulacja oparta na logach, nie zostają utworzone żadne pliki na serwerze; jednakże, by usunąć „szum” w logach, można ręcznie usunąć wpis symulowanego dostępu, jeśli system logowania to obsługuje, lub po prostu uznać go za wpis testowy.

  # Nie jest wymagane czyszczenie, ponieważ nie zmodyfikowano żadnych plików.
  echo "[+] Symulacja zakończona. Brak artefaktów pozostawionych w systemie plików."