Intrusione AhsayCBS Deplora Webshell, CryptoMiner e Impianto C2

Riepilogo

Gli attori delle minacce hanno sfruttato vulnerabilità nel software di gestione AhsayCBS per eseguire un’intrusione su più fasi. L’attacco ha coinvolto diverse famiglie di webshell JSP, un cryptominer XMRig utilizzato per il dirottamento di risorse e un impianto personalizzato basato su Python per il comando e controllo persistente. L’intrusione ha inoltre incorporato utility di tunneling e strumenti di accesso remoto per supportare il movimento laterale e l’esfiltrazione di dati.

Indagine

Huntress ha analizzato tre server AhsayCBS compromessi e identificato un operatore avanzato che è passato oltre il semplice cryptomining per stabilire un accesso persistente. L’indagine ha rivelato l’uso di steganografia per nascondere payload all’interno di immagini PNG e l’uso di chiavi ambientali progettate per ostacolare l’analisi delle sandbox. Le evidenze hanno anche suggerito che l’attore abbia deliberatamente mirato all’infrastruttura di backup, potenzialmente per accedere a credenziali sensibili.

Mitigazione

Le organizzazioni dovrebbero applicare le correzioni ufficiali di AhsayCBS per le versioni v10 e v7-v9 per risolvere il bypass delle autenticazioni e le vulnerabilità RCE sfruttate. Gli amministratori dovrebbero controllare le directory web per file JSP non autorizzati e rivedere i sistemi alla ricerca di attività insolite pianificate o esclusioni di Windows Defender. L’applicazione immediata delle patch è essenziale per qualsiasi distribuzione AhsayCBS esposta su internet.

Risposta

Quando viene rilevata una compromissione, le organizzazioni dovrebbero reimmaginare completamente i server interessati da backup attendibili e ruotare tutte le credenziali memorizzate o accessibili tramite il software di backup. I team di sicurezza dovrebbero cercare pattern di file sospetti, account locali non autorizzati come wdguest, e traffico DNS-over-HTTPS da processi non-browser. Una rotazione completa delle credenziali per hypervisor e account di dominio è anche critica.

Esecuzione di Simulazione

• Narra e Comandi dell’Attacco: Un avversario ha identificato un server AhsayCBS esposto a internet. Dopo aver effettuato ricognizioni, tenta di utilizzare un webshell noto utilizzato in precedenti exploit per guadagnare un punto d’appiglio. L’attaccante invia una richiesta HTTP GET appositamente creata a /nsmind.jsp. Questa azione è intesa a innescare la regola di rilevamento colpendo lo specifico request_uri pattern definito nella logica.

• Script di Test di Regressione: Questo script simula la richiesta dell’attaccante inviando una richiesta HTTP al server web target.

  #!/bin/bash
  # Script di simulazione per attivare il rilevamento di Webshell AhsayCBS
  TARGET_URL="http://localhost/nsmind.jsp"
  
  echo "[+] Simulazione del tentativo di accesso webshell a: $TARGET_URL"
  curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL"
  echo "[+] Richiesta inviata. Controlla SIEM per allerta di rilevamento."

• Comandi di Pulizia: Poiché questa è una simulazione basata su log, non vengono creati file sul server; tuttavia, per pulire il “rumore” nei log, è possibile eliminare manualmente l’entrata di accesso simulato se il sistema di logging lo supporta, o semplicemente riconoscerla come un’entrata di test.

  # Non è richiesta pulizia poiché non sono stati modificati file.
  echo "[+] Simulazione completa. Nessun artefatto lasciato sul filesystem."