Intrusion AhsayCBS Déploie des Webshells, CryptoMineur et Implant C2

Résumé

Des acteurs malveillants ont exploité des vulnérabilités dans le logiciel de gestion AhsayCBS pour mener une intrusion en plusieurs étapes. L’attaque impliquait plusieurs familles de webshells JSP, un cryptomineur XMRig utilisé pour le détournement de ressources, et un implant personnalisé basé sur Python pour le contrôle persistant. L’intrusion intégrait également des utilitaires de tunneling et des outils d’accès à distance pour favoriser le mouvement latéral et l’exfiltration de données.

Enquête

Huntress a analysé trois serveurs AhsayCBS compromis et identifié un opérateur avancé qui a dépassé le simple cryptominage pour établir un accès persistant. L’enquête a révélé l’utilisation de la stéganographie pour dissimuler les charges utiles à l’intérieur d’images PNG et le keying environnemental conçu pour entraver l’analyse sandbox. Les preuves suggéraient également que l’acteur ciblait délibérément l’infrastructure de sauvegarde, potentiellement pour accéder à des informations d’identification sensibles.

Atténuation

Les organisations doivent appliquer les correctifs officiels AhsayCBS pour les versions v10 et v7-v9 afin de remédier aux vulnérabilités exploitées de contournement d’authentification et d’exécution de code à distance (RCE). Les administrateurs devraient auditer les répertoires web pour les fichiers JSP non autorisés et examiner les systèmes pour les tâches planifiées inhabituelles ou les exclusions de Windows Defender. Une correction immédiate est essentielle pour tout déploiement AhsayCBS exposé à Internet.

Réponse

Lorsque le compromis est détecté, les organisations devraient ré-imager entièrement les serveurs affectés à partir de sauvegardes fiables et faire tourner toutes les informations d’identification stockées dans ou accessibles via le logiciel de sauvegarde. Les équipes de sécurité doivent rechercher des motifs de fichiers suspects, des comptes locaux non autorisés tels que wdguest, et le trafic DNS-sur-HTTPS provenant de processus non-navigateurs. Une rotation complète des informations d’identification pour les hyperviseurs et les comptes de domaine est également critique.

Exécution de simulation

• Narration de l’attaque & Commandes : Un adversaire a identifié un serveur AhsayCBS exposé à Internet. Après avoir effectué une reconnaissance, ils tentent d’utiliser un webshell connu utilisé dans des exploitations antérieures pour prendre pied. L’attaquant envoie une requête HTTP GET spécialement conçue à /nsmind.jsp. Cette action est destinée à déclencher la règle de détection en affectant l’ request_uri défini dans la logique.

• Script de test de régression : Ce script simule la requête de l’attaquant en envoyant une requête HTTP au serveur web cible.

  #!/bin/bash
  # Script de simulation pour déclencher la détection du webshell AhsayCBS
  TARGET_URL="http://localhost/nsmind.jsp"
  
  echo "[+] Tentative d'accès au webshell de simulation à : $TARGET_URL"
  curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL"
  echo "[+] Requête envoyée. Vérifiez l'alerte de détection SIEM."

• Commandes de nettoyage : Puisqu’il s’agit d’une simulation basée sur des journaux, aucun fichier n’est créé sur le serveur ; cependant, pour nettoyer le « bruit » dans les journaux, vous pouvez supprimer manuellement l’entrée d’accès simulée si votre système de journalisation le prend en charge, ou simplement la reconnaître comme une entrée de test.

  # Aucun nettoyage requis car aucun fichier n'a été modifié.
  echo "[+] Simulation terminée. Aucun artefact laissé sur le système de fichiers."