关注 
概述
威胁行为者利用AhsayCBS管理软件的漏洞进行了一次多阶段的入侵。攻击涉及多个JSP WebShell家族，一个用于资源劫持的XMRig加密矿工，以及一个用于持久化命令和控制的自定义基于Python的植入物。入侵还包含隧道工具和远程访问工具，以支持横向移动和数据外泄。
调查
Huntress分析了三个被入侵的AhsayCBS服务器，发现一个高级的操作员通过建立持久访问超过了基本的加密挖矿。调查揭露了使用隐写术将有效载荷隐藏在PNG图像中，并设计了环境密钥以阻碍沙箱分析。证据还表明，行为者故意针对备份基础设施，可能是为了访问敏感凭证。
缓解措施
组织应应用AhsayCBS v10和v7-v9的官方修补程序来修复被利用的身份验证绕过和远程代码执行漏洞。管理员应审计Web目录中的未授权JSP文件，并检查系统中不寻常的计划任务或Windows Defender排除。对于任何面向互联网的AhsayCBS部署，立即打补丁是至关重要的。
响应
当检测到妥协时，组织应从可信备份中完全重新映像受影响的服务器，并轮换备份软件中存储或可访问的所有凭证。安全团队应寻找可疑的文件模式、未授权的本地账户如 wdguest，以及来自非浏览器进程的DNS-over-HTTPS流量。对于虚拟机管理程序和域账户进行全面的凭证旋转也至关重要。
攻击流程
我们仍在更新此部分。
检测
已添加Windows Defender排除（通过registry_event）
可能的Web服务器或Web应用程序利用 [Windows]（via cmdline）
从可疑文件夹执行Python（通过cmdline）
替代远程访问/管理软件（通过process_creation）
使用第三方服务解析可疑DNS（通过proxy）
基于代理的DoH和DNS命令和控制信道
使用第三方服务解析可疑DNS（通过dns）
已将Python添加到运行键中 [ASEPs]（通过registry_event）
不寻常的更改代码页执行（通过cmdline）
脚本运行时发起出站TLS连接（通过network_connection）
IOCs（HashSha256）用于检测：AhsayCBS入侵：隐藏WebShells，一个加密矿工和一个C2植入物
IOCs（HashMd5）用于检测：AhsayCBS入侵：隐藏WebShells，一个加密矿工和一个C2植入物
IOCs（SourceIP）用于检测：AhsayCBS入侵：隐藏WebShells，一个加密矿工和一个C2植入物
IOCs（DestinationIP）用于检测：AhsayCBS入侵：隐藏WebShells，一个加密矿工和一个C2植入物
未授权的Python活动和WebShell有效载荷部署检测 [Windows进程创建]
检测AhsayCBS WebShell和利用 [Web服务器]
模拟执行
-
攻击叙述 & 命令： 一个对手识别出暴露在互联网上的AhsayCBS服务器。在执行侦察后，他们尝试使用以前利用中已知的WebShell以获取立足点。攻击者发送一个精心制作的HTTP GET请求到
/nsmind.jsp。此操作旨在通过触碰特定的request_uri逻辑中定义的模式来触发检测规则。 -
回归测试脚本： 此脚本通过向目标Web服务器发送HTTP请求来模拟攻击者的请求。
#!/bin/bash # 模拟脚本以触发AhsayCBS WebShell检测 TARGET_URL="http://localhost/nsmind.jsp" echo "[+] 尝试访问WebShell模拟到：$TARGET_URL" curl -s -o /dev/null -w "%{http_code}n" "$TARGET_URL" echo "[+] 请求已发送。检查SIEM以获取检测警报。" -
清理命令： 由于这是基于日志的模拟，服务器上不会创建文件；不过，为了清理日志中的“噪音”，如果您的日志记录系统支持，您可以手动删除模拟的访问条目，或者简单地将其视为测试条目。
# 不需要清理，因为文件未被修改。 echo "[+] 模拟完成。文件系统中没有留下任何工件。"
