AhsayCBS Güvenlik Açıkları Üzerinden Python Tabanlı Arka Kapı Dağıtımı

AhsayCBS Güvenlik Açıkları Üzerinden Python Tabanlı Arka Kapı Dağıtımı

Siber güvenlik araştırmacıları, AhsayCBS’deki iki yamalanmış güvenlik açığının istismar edilerek Python tabanlı bir kötü amaçlı yazılımın dağıtıldığı bir saldırının detaylarını açıkladı.

Huntress tarafından 2026 Ekim ayı başlarında gözlemlenen bu saldırı, kimlik doğrulamasını atlamak ve etkilenen sistemlerde rastgele komutlar çalıştırmak için CVE-2026-105133 ve CVE-2026-105134 kodlu güvenlik açıklarının bir zincirleme şekilde istismar edilmesini içeriyor. Ahsay Backup, bu iki güvenlik açığı için yamaları 2026 Ekim ayı ortalarında yayınladı.

Söz konusu iki güvenlik açığının sıfır gün (zero-day) olarak kullanıldığı değerlendiriliyor. Yönetilen güvenlik platformu, tehdit aktörlerinin başlangıçta ele geçirilmiş sistemlere web kabukları ve XMRig kripto para madencileri yerleştirmek için hızlı ve yıkıcı bir yaklaşım kullandığını gözlemledi.

Huntress araştırmacısı Jonathan Semon, “Ancak bu olay, çok daha büyük ve sabırlı bir saldırıyı yansıtıyor; operatör, yedeklemeleri tutmakla görevli sunuculara birden fazla yere kabuklar yerleştirdi, iki farklı madenci çalıştırdı, tünelleme araçları hazırladı ve özel bir kötü amaçlı yazılım yükledi” dedi.

Özellikle, bilinmeyen tehdit aktörünün beş farklı Jakarta Server Pages (JSP, eski adıyla JavaServer Pages) web kabuğu ailesi bıraktığı belirtiliyor:

• nsmind.jsp: exec, cd, upload ve download parametrelerini kullanarak komut yürütme ve dosya aktarım yeteneklerine sahip imzalı bir API.
• AhsayCBS.jsp: Şifreli yükleri PNG görüntülerinin piksel verilerinde gizleyen ve bunları bellekten çalıştıran bir yükleyici.
• Anahtarlı komut kabuğu: Sabit kodlanmış bir anahtarı kendi kopyasıyla karşılaştırır ve eşleşirse komutu “cmd.exe” aracılığıyla çalıştırır.
• Dosya yazma özellikli anahtarlı kabuk: Anahtarlı komut web kabuğunu, Base64 ile kodlanmış baytları hizmet hesabının erişebileceği herhangi bir yola yazma ve daha fazla araç dağıtma yeteneğiyle genişletir.
• status_<altı_rastgele_harf>.jsp veya st_<altı_rastgele_harf>.jsp (örneğin, st_jgaejj.jsp): Komutları çalıştırmak, girdi olarak sağlanan herhangi bir yolu özyinelemeli olarak silmek ve cmd, del ve rm parametrelerini kullanarak kendilerini silmek için kullanılır.

Huntress, “[AhsayCBS.jsp’nin] dahili bir görüntü önizleme hizmeti kılığına girmesi, bir filigran uç noktasını açıklayan bir yorum bloğuna kadar uzanıyordu” diye açıkladı. “Web kabuğu yalnızca JSP örtük nesnelerini ve tam nitelikli sınıf adlarını kullanıyordu, bu da herhangi bir servlet konteynerinde ve Java Development Kit (JDK) 6 ve sonraki sürümlerinde derlenebileceği anlamına geliyordu.”

Saldırının, Microsoft Edge kılığına giren bir XMRig madencisi dağıtmasının yanı sıra, farklı bir cüzdan ve madencilik havuzu kullanarak her dakika bir SİSTEM zamanlanmış görevi aracılığıyla yeniden başlayan ikinci bir XMRig madencisi (“kvm-agent.exe”) de dağıttığı tespit edildi.

Saldırının en dikkat çekici yönü, yalnızca hazırlandığı ana bilgisayarda çalışmak ve bir sanal alanda veya bir analistin makinesinde yürütülmesini önlemek için tasarlanmış Python arka kapısı (“main.py”) etrafında dönüyor.

Bu, ana bilgisayarın MachineGuid’inin SHA-256 kriptografik özetini hesaplayarak ve Python kötü amaçlı yazılımının bulunduğu aynı dizinde aynı ada sahip bir işaretçi dosyası arayarak başarılır. Ardından, bir komuta ve kontrol (C2) sunucusu (“creepexplosiondarknight[.]com”) ile iletişim kuran bellekte gömülü bir x64 DLL çalıştırır.

Saldırı zinciri, dikkat çekmemek amacıyla Microsoft Defender dışlamalarını yapılandırırken, kalıcı erişim sağlamak için tünelleme araçları (GOST ve Chisel) ve yasal uzaktan erişim yazılımları (AnyDesk, Atera ve Splashtop) da sunuyor.

Kanıtlar, tehdit aktörünün yedeklemeleri tutan veya yöneten sunucuları hedeflemiş olabileceğini gösteriyor.

Semon, “Aynı ortamdaki ilgili bir Veeam sunucusunda, NetExec’in Veeam kimlik bilgisi çalma modülüyle tutarlı bir komut da gördük: VeeamBackup PostgreSQL veritabanını depolanmış kimlik bilgileri için sorgulayan ve bunları DPAPI ile şifre çözen, görünüşe göre WMI aracılığıyla uzaktan başlatılan bir PowerShell betiği” dedi.

“Yedekleme yazılımı hipervizörler, depolar ve etki alanı hesapları için kimlik bilgilerini tutar. Bu kimlik bilgilerinin kaçının alındığını söyleyemeyiz, ancak bir Ahsay dayanağının bir Veeam kimlik bilgisi sorgusuyla eşleşmesi, operatörün yedekleme altyapısıyla tesadüfen değil, bilerek ilgilendiğini gösterdi.”