AhsayCBS 침입, 웹쉘, 암호화폐 채굴기 및 C2 임플란트 배포

요약

위협 행위자들은 AhsayCBS 관리 소프트웨어의 취약점을 악용하여 다단계 침투를 수행했습니다. 이 공격에는 여러 JSP 웹쉘 계열, 자원 탈취를 위해 사용된 XMRig 암호화 광부, 지속적인 명령 및 제어를 위한 맞춤형 파이썬 기반 삽입물이 포함되었습니다. 침입에는 또한 터널링 유틸리티와 원격 액세스 도구가 포함되어 있어 측면 이동과 데이터 탈취를 지원했습니다.

조사

Huntress는 세 개의 손상된 AhsayCBS 서버를 분석하여 단순한 암호화 채굴을 넘어 지속적인 접근을 확립한 고급 운영자를 식별했습니다. 조사 결과 스테가노그래피가 PNG 이미지 내에 페이로드를 숨기기 위해 사용되었고, 환경적 키잉이 샌드박스 분석을 방해하도록 설계된 것이 발견되었습니다. 또한 행동자는 백업 인프라를 의도적으로 목표로 삼아 민감한 자격 증명에 접근하려 한 것으로 보입니다.

완화 조치

조직은 v10 및 v7-v9의 공식 AhsayCBS 긴급 수정 프로그램을 적용하여 악용된 인증 우회 및 RCE 취약점을 수정해야 합니다. 관리자는 JSP 파일을 무단으로 삽입한 웹 디렉터리를 감사하고 시스템에서 이상한 예약 작업 또는 Windows Defender 제외 항목을 검토해야 합니다. 인터넷에 연결된 모든 AhsayCBS 배포에 대해 즉각적인 패치는 필수적입니다.

대응

침해가 감지되면 조직은 영향을 받은 서버를 신뢰할 수 있는 백업에서 완전히 이미징하고 백업 소프트웨어에서 저장되었거나 접근 가능한 모든 자격 증명을 회전해야 합니다. 보안 팀은 의심스러운 파일 패턴, 승인되지 않은 로컬 계정 (예: “wdguest”) 및 비브라우저 프로세스에서 발생한 DNS-over-HTTPS 트래픽을 찾아야 합니다. 하이퍼바이저 및 도메인 계정에 대한 포괄적인 자격 증명 회전도 중요합니다. wdguest, and DNS-over-HTTPS traffic from non-browser processes. Comprehensive credential rotation for hypervisors and domain accounts is also critical.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 인터넷에 노출된 AhsayCBS 서버를 식별했습니다. 정찰을 수행한 후 이전 익스플로잇에서 사용된 알려진 웹쉘을 사용하여 발판을 마련하려고 합니다. 공격자는 /nsmind.jsp에 제작된 HTTP GET 요청을 보냅니다. 이 작업은 특정 request_uri 패턴을 치도록 설계되어 탐지 규칙을 트리거하려고 합니다.

• 회귀 테스트 스크립트: 이 스크립트는 타겟 웹 서버에 HTTP 요청을 보내 번역자의 요청을 시뮬레이션합니다.

  #!/bin/bash
  # AhsayCBS 웹쉘 탐지를 트리거하는 시뮬레이션 스크립트
  TARGET_URL="http://localhost/nsmind.jsp"
  
  echo "[+] $TARGET_URL 로의 웹쉘 접속 시도를 시뮬레이션 중"
  curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL"
  echo "[+] 요청이 전송되었습니다. 탐지 경고를 위해 SIEM을 확인하십시오."

• 정리 명령: 로그 기반 시뮬레이션이기 때문에 서버에 파일이 생성되지 않습니다. 그러나 로그의 “노이즈”를 정리하기 위해 로깅 시스템이 이를 지원한다면 시뮬레이션 접속 엔트리를 수동으로 삭제하거나, 단순히 테스트 엔트리로 인정할 수 있습니다.

  # 수정된 파일이 없으므로 정리가 필요 없습니다.
  echo "[+] 시뮬레이션 완료. 파일 시스템에 남아있는 아티팩트가 없습니다."