Pesquisadores de cibersegurança divulgaram detalhes de um ataque que explorou duas vulnerabilidades já corrigidas no AhsayCBS para instalar um implante baseado em Python.
Observada pela Huntress em outubro de 2026, a atividade envolveu a exploração encadeada das falhas
CVE-2026-105133
e
CVE-2026-105134
para contornar a autenticação e executar comandos arbitrários nos sistemas afetados. A Ahsay Backup lançou correções para as duas vulnerabilidades em meados de outubro de 2026.
As falhas teriam sido exploradas como zero-days. Inicialmente, a plataforma de segurança gerenciada observou threat actors adotando uma abordagem de ataque rápido para instalar shells da web e mineradores de criptomoedas XMRig nos sistemas comprometidos.
“Este incidente, porém, revela uma invasão muito mais ampla e paciente. O operador instalou shells em vários locais, executou dois mineradores diferentes, preparou ferramentas de tunelamento e instalou um implante personalizado, tudo em servidores cuja função é armazenar backups”, afirmou Jonathan Semon, pesquisador da Huntress.
Segundo a empresa, o threat actor, cuja identidade não foi determinada, deixou cinco famílias de shells da web em arquivos Jakarta Server Pages (JSP, anteriormente JavaServer Pages):
- **nsmind.jsp**, uma API assinada com recursos de execução de comandos e transferência de arquivos, que usa os parâmetros `exec`, `cd`, `upload` e `download`.
- **AhsayCBS.jsp**, um loader que oculta payloads criptografados nos dados de pixels de imagens PNG e os executa na memória.
- **Shell de comandos protegido por chave**, que compara uma chave hardcoded com sua própria cópia e, se houver correspondência, executa o comando por meio do `cmd.exe`.
- **Shell protegido por chave com gravação de arquivos**, que amplia os recursos do shell de comandos protegido por chave. Ele pode gravar bytes decodificados de Base64 em qualquer caminho acessível à conta de serviço e instalar outras ferramentas.
- **status_<seis_letras_aleatórias>.jsp** ou **st_<seis_letras_aleatórias>.jsp**, como `st_jgaejj.jsp`. Esses arquivos executam comandos, excluem recursivamente qualquer caminho informado e apagam a si próprios, por meio dos parâmetros `cmd`, `del` e `rm`.
“A dissimulação do [AhsayCBS.jsp] como um serviço interno de pré-visualização de imagens chegava a incluir um bloco de comentários que descrevia um endpoint de marca d’água”, explicou a Huntress. “O shell da web usava apenas objetos implícitos do JSP e nomes de classe totalmente qualificados. Isso permitia que fosse compilado em qualquer contêiner de servlets e no Java Development Kit (JDK) 6 ou posterior.”
Além de instalar um minerador XMRig disfarçado de Microsoft Edge, o ataque também instalou um segundo minerador, chamado `kvm-agent.exe`. Ele é reiniciado a cada minuto por uma tarefa agendada com privilégios SYSTEM e usa outra carteira e outro pool de mineração.
Um aspecto notável da invasão é o backdoor em Python, chamado `main.py`. Ele foi projetado para funcionar apenas no computador em que foi instalado, impedindo sua execução em uma sandbox ou na máquina de um analista.
Para isso, calcula o hash criptográfico SHA-256 do `MachineGuid` do computador e procura um arquivo marcador com o mesmo nome no diretório do implante Python. Em seguida, executa na memória uma DLL x64 incorporada, que se conecta a um servidor de comando e controle (C2) em `creepexplosiondarknight[.]com`.
Para tentar passar despercebida, a cadeia de ataque também configura exclusões no Microsoft Defender e disponibiliza ferramentas de tunelamento, como GOST e Chisel, além de programas legítimos de acesso remoto, como AnyDesk, Atera e Splashtop, para manter o acesso aos sistemas.
As evidências indicam que o threat actor pode ter mirado servidores que armazenavam ou administravam backups.
“Em um servidor Veeam relacionado, no mesmo ambiente, também encontramos um comando compatível com o módulo de roubo de credenciais do Veeam do NetExec: um script PowerShell, aparentemente iniciado remotamente por meio de WMI, que consultava o banco de dados PostgreSQL do VeeamBackup em busca de credenciais armazenadas e as descriptografava com o DPAPI”, disse Semon.
“Os programas de backup armazenam credenciais de hipervisores, repositórios e contas de domínio. Não podemos afirmar quantas dessas credenciais foram obtidas, mas a combinação de um ponto de apoio no Ahsay com uma consulta a credenciais do Veeam sugere que o operador tinha interesse deliberado na infraestrutura de backup, e não que chegou até ela por acaso.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...