Хакеры взломали серверы резервного копирования Ahsay через две уязвимости и поставили бэкдор на Python
Исследователи Huntress зафиксировали в октябре 2026 года атаку, в которой хакеры использовали две уязвимости AhsayCBS, CVE-2026-105133 и CVE-2026-105134, чтобы установить скрытый бэкдор на Python. Уязвимости закрыли патчами в середине октября 2026 года, а эксплуатировались они как zero-day.
Главное в цифрах
- Уязвимости: CVE-2026-105133 и CVE-2026-105134 в AhsayCBS
- Патчи выпущены в середине октября 2026 года
- Атака зафиксирована в октябре 2026 года
- Веб-шеллы: пять семейств JSP-шеллов
- Майнеры: два экземпляра XMRig
Сначала атакующие действовали напрямую: разворачивали веб-шеллы и майнеры XMRig. Позже они перешли к более терпеливой схеме и закрепились в системе. Исследователи насчитали пять семейств JSP-шеллов, два майнера, инструменты туннелирования GOST и Chisel, а также легитимное ПО удалённого доступа AnyDesk, Atera и Splashtop.
Один из майнеров маскировался под Microsoft Edge, второй (kvm-agent.exe) перезапускался каждую минуту через задачу планировщика с правами SYSTEM и использовал другой кошелёк и пул.
Бэкдор на Python
Главный инструмент атаки, Python-бэкдор main.py, работает только на том хосте, где был размещён. Он вычисляет SHA-256 от MachineGuid компьютера и ищет файл-маркер с таким же именем в своей папке. Если маркера нет или запуск идёт в песочнице, бэкдор не работает. При успешной проверке он загружает встроенную x64 DLL в память и связывается с C2-сервером creepexplosiondarknight[.]com.
Чтобы остаться незамеченными, атакующие добавляли исключения в Microsoft Defender.
Интерес к резервному копированию
По данным исследователей, цель атакующих могла быть не случайной. На связанном сервере Veeam они заметили команду, похожую на модуль NetExec для кражи учётных данных Veeam: скрипт запрашивал базу PostgreSQL VeeamBackup и расшифровывал сохранённые учётные записи через DPAPI.
По словам Джонатана Семона из Huntress, ПО резервного копирования хранит учётные данные гипервизоров, репозиториев и доменных аккаунтов. Сколько из них удалось получить, исследователи сказать не могут, но сочетание входа через Ahsay и запроса к Veeam говорит о целенаправленном интересе к инфраструктуре резервного копирования.
