Newshot 文章标题：攻击者利用 AhsayCBS 漏洞部署可规避沙箱的 Python 后门
正文：
网络安全研究人员披露了一起攻击的细节，该攻击利用了 AhsayCBS 中两个现已修复的漏洞，以投递一个基于 Python 的植入程序。
Huntress 于 2026 年 10 月初观察到该活动，其中涉及利用由 CVE-2026-105133 和 CVE-2026-105134 组成的漏洞链，以绕过身份验证并在受影响系统上执行任意命令。Ahsay Backup 已于 2026 年 10 月中旬发布这两个漏洞的补丁。
这两个漏洞被评估为已作为零日漏洞被武器化，该托管安全平台首次观察到威胁行为者采用“砸了就抢”的手法，在受感染系统上部署 Web shell 和 XMRig 加密货币挖矿程序。
“然而，这起事件反映的是一次规模更大、更有耐心的入侵；操作者在多个位置植入了 shell，运行了两种不同的挖矿程序，投放了隧道工具，并安装了一个定制植入程序，而这一切都发生在专门用于存放备份的服务器上，”Huntress 研究员 Jonathan Semon 表示。
具体而言，这名身份不明的威胁行为者据称留下了五个家族的 Jakarta Server Pages（JSP，原称 JavaServer Pages）Web shell——
- nsmind.jsp，一个经过签名的 API，具备命令执行和文件传输能力，使用 exec、cd、upload 和 download 参数
- AhsayCBS.jsp，一个加载器，将加密载荷隐藏在 PNG 图像的像素数据中并从内存中运行它们
- 带密钥的命令 shell，将硬编码密钥与其自身副本进行比对，若匹配，则通过“cmd.exe”运行命令
- 带文件写入功能的带密钥 shell，在带密钥命令 Web shell 基础上扩展了将 Base64 解码后的字节写入服务账户可访问的任意路径并部署更多工具的能力
- status_<六个随机字母>.jsp 或 st_<六个随机字母>.jsp（例如 st_jgaejj.jsp），用于运行命令、递归删除作为输入提供的任意路径，并使用 cmd、del 和 rm 参数删除自身。
“[AhsayCBS.jsp 的]伪装成内部图像预览服务，甚至细致到一个描述水印端点的注释块，”Huntress 解释道。“该 Web shell 仅使用 JSP 隐式对象和完全限定的类名，这意味着它可以在任何 servlet 容器以及 Java Development Kit (JDK) 6 及更高版本上编译。”
该攻击除了部署一个伪装成 Microsoft Edge 的 XMRig 挖矿程序外，还被发现投递了第二个 XMRig 挖矿程序（“kvm-agent.exe”），后者通过一个 SYSTEM 计划任务每分钟重启，同时使用不同的钱包和矿池。
此次入侵最引人注目的方面围绕那个 Python 后门（“main.py”），它被设计为仅在其被投放的主机上运行，并防止其在沙箱或分析人员的机器中执行。
它通过计算主机 MachineGuid 的 SHA-256 加密哈希，并在存放 Python 植入程序的同一目录中查找同名标记文件来实现这一点，随后在内存中运行一个嵌入的 x64 DLL，该 DLL 会连接命令与控制（C2）服务器（“creepexplosiondarknight[.]com”）。
为了避开检测，该攻击链还配置了 Microsoft Defender 排除项，同时投放隧道工具（GOST 和 Chisel）和合法的远程访问软件（AnyDesk、Atera 和 Splashtop），以建立持久访问。
证据表明，该威胁行为者可能针对的是存放或管理备份的服务器。
像 {{NAME_ab12cd34}} 这样写出的值是真实值的占位符。请完全按原样使用它们，在回复和工具调用中都一样：它们会在任何内容运行之前被填入真实值。不要要求验证它们，也不要用示例替换它们。
“在同一环境中的一台相关 Veeam 服务器上，我们还看到一个与 NetExec 的 Veeam 凭据窃取模块相符的命令：一个 PowerShell 脚本，显然是通过 WMI 远程启动的，它查询 VeeamBackup PostgreSQL 数据库中存储的凭据，并用 DPAPI 解密它们，”Semon 说。
“备份软件保存着虚拟机监控程序、存储库和域账户的凭据。我们无法说明其中有多少凭据被获取，但 Ahsay 立足点与 Veeam 凭据查询同时出现，表明操作者是有意关注备份基础设施，而非偶然。”
更新
Ahsay Backup 已发布 10.3.6.1，包含额外的安全加固更新，以增强平台的安全态势，并敦促合作伙伴应用最新修复以获得充分保护。
“随着威胁态势持续演变，网络犯罪分子越来越多地采用 AI 驱动的技术来加速和增强漏洞利用，”这家总部位于新加坡的公司表示。“这是所有行业软件供应商都面临的挑战，而此次事件反映的是更广泛的现实，而非 Ahsay 独有的问题。”
“这些增强旨在加强 Ahsay 解决方案抵御新兴网络威胁的韧性，包括日益复杂的 AI 驱动攻击。”
Ahsay 在上个月的一份状态更新中还透露，它于 2026 年 10 月 9 日开始收到合作伙伴关于未经授权访问事件影响其 AhsayCBS 服务器环境的报告，这促使其于 2026 年 10 月 10 日和 12 日发布针对版本 9 和 10 的热修复程序。
它还分享了以下指标，客户可据此检查其 AhsayCBS 服务器是否已被攻陷——
- 硬盘根目录下创建的具有可疑名称的文件夹（例如 ahsay_ts、ahsay_t8、ahsay_t9、ahsay_t20、ahsay_t21、srv、user 和 opt）。
- “%CBS%\webapps”文件夹中多个具有随机生成名称的 JSP 文件，例如“75bc584d292933ad.jsp”，和/或具有小写字母和数字的文件夹，例如 xtj7iu、kje74x 和 103y9r。
- 添加未经授权的 RPS 接收器。
- 存在具有“Admin”类型权限的未经授权 AhsayCBS 用户账户。
如果检测到恶意活动，建议在备份服务器上重新安装 Windows 或 Linux，安装最新版本的 AhsayCBS，并通过恢复时间戳早于攻陷发生时间的服务器配置版本，从 Auto Save 进行还原。
“作为最佳实践，请选择至少比未经授权访问事件期间创建的任何可疑文件夹或文件的时间戳早一天的 Auto Save 版本，”它表示。