Útočníci přes chyby v AhsayCBS zanechali na zálohovacích serverech webshelly, těžaře i implantát v Pythonu

Co se stalo

Bezpečnostní firma Huntress zveřejnila 9. listopadu 2026 podrobný rozbor průniku do tří serverů AhsayCBS v jednom prostředí. AhsayCBS je serverová část zálohovacího softwaru Ahsay, kterou provozují hlavně poskytovatelé zálohovacích služeb a správci IT pro své zákazníky. Útočník servery napadl mezi 8. a 11. říjnem 2026, tedy ještě předtím, než výrobce vydal funkční opravu.

Samotné chyby nejsou nové. NVD je zveřejnila 4. 10. 2026, Huntress hlásil první zneužití 7. 10. 2026, výrobce vydal opravné hotfixy 12. 10. 2026 a CISA obě chyby zařadila do katalogu aktivně zneužívaných zranitelností (KEV) 14. 10. 2026. Nové je, co rozbor ukazuje: útočník na serverech se zálohami trpělivě vrstvil několik nezávislých způsobů přístupu a ty po instalaci opravy zůstávají.

Technické podrobnosti

• CVE-2026-105133 – chyba v ověřování (CWE-287) ve funkci checkSysPwd (com/ahsay/obs/api/ApiStructsAction.java). Slouží k obejití přihlášení. NVD uvádí CVSS 3.1 7,3 (hodnocení VulDB).
• CVE-2026-105134 – vložení příkazů operačního systému (CWE-78) v komponentě Replication Receiver, endpoint /rps/api/json/UpdateReceivers.do, parametr random. Útočník bez přihlášení spustí příkazy s právy NT AUTHORITY\SYSTEM. CVSS 3.1 i 4.0 10,0.
• Webshelly: pět rodin v JSP – shelly s klíčem v parametru p, varianta pro zápis souborů, shelly status_*/st_*, které se umějí samy smazat, nsmind.jsp s podepsaným API (spouštění příkazů, nahrávání a stahování souborů) a AhsayCBS.jsp, který skrývá kód šifrovaný AES v nejnižších bitech pixelů obrázků PNG a spouští ho v paměti.
• Těžař: XMRig jako kvm-agent.exe, který každou minutu znovu spouští naplánovaná úloha kvm s právy SYSTEM.
• Implantát v Pythonu: vložený Python a skript main.py v profilu účtu SYSTEM, spouštěný z klíče Run přes explorer.exe. Pokračuje jen tehdy, když na počítači najde značkovací soubor pojmenovaný podle SHA-256 hodnoty MachineGuid – tak se vyhne analýze v sandboxu. Pak v paměti spustí 64bitovou DLL, která se hlásí serveru C2. Rodinu malwaru ani další chování po připojení Huntress zatím neurčil.
• Další nástroje: tunely gost a chisel, AnyDesk, Atera a Splashtop, lokální účet wdguest, balík Mimikatz a široké výjimky v Microsoft Defenderu (C:\ProgramData, C:\Windows).
• Zálohy jako cíl: na souvisejícím serveru Veeam spustil útočník příkaz odpovídající modulu nástroje NetExec pro krádež hesel z Veeamu – dotaz do databáze PostgreSQL VeeamBackup a dešifrování uložených údajů přes DPAPI.

Koho se to týká

• AhsayCBS verze 10 bez hotfixu 10.3.4.45 a verze 7, 8 a 9 bez hotfixu 9.15.2.70. Podle Huntress je zasažená i verze 10.3.4.0, kterou NVD původně jako zranitelnou neuváděla.
• Dřívější záplaty 9.15.2.59 a 10.3.4.0 chyby úplně neopravily – to výslovně uvádí Ahsay.
• Nejvíc ohrožené jsou servery, jejichž rozhraní bylo dostupné z internetu před 12. 10. 2026. Kdo hotfix nainstaloval až později, měl by počítat s tím, že server mohl být napaden.

Oběti v Česku nebo na Slovensku Huntress neuvádí. Software Ahsay ale nabízejí i menší poskytovatelé zálohování a správci IT, kteří ho provozují pro více zákazníků najednou – jeden napadený server tak může ohrozit data mnoha firem.

Jak poznat napadení

Huntress doporučuje hledat na serverech dostupných před opravou:

• neočekávané soubory .jsp ve webapps\cbs a webapps\rps, hlavně s náhodnými názvy a předponou status_ nebo st_,
• požadavky na UpdateReceivers.do v přístupových lozích AhsayCBS,
• složky ahsay_*, home, opt, srv nebo usr v kořeni disku nebo v Program Files a složky pojmenované časovým razítkem vedle webshellů,
• prázdné soubory pb_ ve složkách conf,
• naplánované úlohy a služby, které jste nevytvořili (zvlášť úlohu SYSTEM spouštěnou každou minutu), a výjimky v Defenderu, které jste nepřidali,
• python.exe nebo pythonw.exe spuštěný z profilu účtu SYSTEM, DNS přes HTTPS z jiných procesů než prohlížeče a proces cbssvcX64.exe, který spouští příkazový řádek.

Výběr indikátorů z rozboru Huntress (domény a IP zneškodněné):

creepexplosiondarknight[.]com                      C2 implantátu v Pythonu (hxxps://…/d)
104.243.43[.]115:443                               síťový indikátor
pool.supportxmr[.]com:443  pool-fr.supportxmr[.]com:443   těžební pool
C:\Windows\SysWOW64\kvm-agent\                     složka těžaře, naplánovaná úloha "kvm"
wdguest                                            lokální účet útočníka
8245c7e7d944923f1608592f6c3473dcc6e3a3e43df3dd1c6257e7880948787b  kvm-agent.exe
8aac187bae71f75fa2dde03dcb4a9279c982182ee8254ae96e7a6626fe4c7617  main.py
bb2472cf5dc7e5c94216d355bf84fba2c8d088d03d61a1ac0d78639049cf5e1f  DLL implantátu (x64)
6c7a4061bcf08df5fe4a49d37442dc650d751be1a91a8bc802edff213e4d5e61  AhsayCBS.jsp
6c695baad1d81ed49194d07a79381292c0466208ff1a9862c0c55f971d6a409f  nsmind.jsp
6f6b66cbdc4a5aa5685d0017abd3f65843a28bcc2bb4e5b78d6d12a844a51aa8  gost
ca5f8e5247f1a044b8be45ef03187726b9af3ac30fd93fb5bb54144e34ed3738  chisel

Úplný seznam – včetně klíčů webshellů, kterými lze filtrovat požadavky v lozích – je v rozboru Huntress. Hashe a domény z logů rychle vytáhne náš IOC extraktor a soubory ověříte v Hash kalkulačce; oba nástroje běží jen ve vašem prohlížeči.

Co udělat

1. Ověřte verzi: verze 10 potřebuje hotfix 10.3.4.45, verze 7–9 hotfix 9.15.2.70 (stahuje se z partnerského portálu Ahsay). Po instalaci server restartujte, jak výrobce uvádí.
2. Omezte přístup ke správnímu rozhraní AhsayCBS – ne z celého internetu, jen z důvěryhodných adres nebo přes VPN.
3. Prohledejte server podle indikátorů výše, i když je opravený.
4. Při nálezu server obnovte z důvěryhodné zálohy nebo ho celý přeinstalujte – Huntress doporučuje úplnou přeinstalaci.
5. Vyměňte hesla a klíče uložené na serveru nebo z něj dostupné, včetně údajů v AhsayCBS a v dalším zálohovacím softwaru v síti (Veeam).
6. Projděte výjimky v Defenderu a naplánované úlohy a zablokujte domény a IP z indikátorů.
7. Incident hlaste NÚKIB (na Slovensku SK-CERT), zvlášť pokud server zálohoval data zákazníků.

Časová osa