AhsayCBS'teki iki açık zero-day olarak kullanıldı; yedekleme sunucularına Python backdoor ve miner yerleştirildi
Huntress, Ekim başında AhsayCBS yedekleme sunucularında CVE-2026-105133 ve CVE-2026-105134 zincirinin istismar edildiğini, saldırganın web shell, iki ayrı miner ve yalnızca hedef makinede çalışan bir Python backdoor bıraktığını bildirdi. Aynı ortamdaki bir Veeam sunucusunda kimlik bilgisi sorgusu da görüldü.
Güvenlik şirketi Huntress, AhsayCBS yedekleme yazılımındaki iki açığın (CVE-2026-105133 ve CVE-2026-105134) zincirlenerek kimlik doğrulamanın atlatıldığı ve sunucularda komut çalıştırıldığı bir saldırıyı ayrıntılandırdı. Huntress etkinliği Ekim 2026'nın başında gözlemledi; Ahsay Backup iki açığın patch'ini Ekim ortasında yayımladı. Açıkların patch çıkmadan önce, yani zero-day olarak kullanıldığı değerlendiriliyor.
İlk bakışta "gir, miner kur, çık" türünde bir saldırı gibi görünen olay, Huntress'e göre çok daha sabırlı bir sızmaydı: saldırgan birden fazla yere web shell bıraktı, iki ayrı miner çalıştırdı, tünelleme araçları hazırladı ve özel bir implant kurdu. Ortak nokta, hedeflerin işi yedek tutmak olan sunucular olması.
Saldırıda neler bırakıldı?
- Beş ayrı JSP web shell ailesi. Biri dahili bir görsel önizleme servisi gibi gizlenmişti; yalnızca standart JSP nesneleri kullandığı için hemen her servlet container'da çalışabilecek biçimde yazılmıştı.
- İki XMRig miner. Biri Microsoft Edge kılığındaydı; ikincisi farklı bir cüzdan ve havuzla, SYSTEM yetkili zamanlanmış görevle dakikada bir yeniden başlatılıyordu.
- Python backdoor. Yalnızca yerleştirildiği makinede çalışacak şekilde tasarlandı: makinenin MachineGuid değerinden üretilen özete göre bir işaret dosyası arıyor, bulamazsa (sandbox ya da analist makinesi) çalışmıyor. Koşul sağlanınca bellekte bir DLL çalıştırıp komuta sunucusuna bağlanıyor.
- Kalıcılık ve gizlenme. Microsoft Defender'a dışlama kuralları eklendi; GOST ve Chisel tünelleme araçları ile AnyDesk, Atera ve Splashtop gibi meşru uzaktan erişim yazılımları kuruldu.
Asıl hedef yedekleme altyapısı mı?
Huntress, aynı ortamdaki bir Veeam sunucusunda, WMI üzerinden uzaktan başlatıldığı anlaşılan ve VeeamBackup veritabanındaki kayıtlı kimlik bilgilerini sorgulayan bir PowerShell betiği gördüğünü bildirdi. Araştırmacıya göre yedekleme yazılımları hypervisor, depo ve domain hesaplarının kimlik bilgilerini tutar; kaç kimlik bilgisinin ele geçirildiği bilinmiyor. Huntress, Ahsay'deki dayanak noktası ile Veeam sorgusunun birlikte görülmesini saldırganın yedekleme altyapısını bilerek hedeflediği şeklinde yorumluyor. Saldırgan kimliği açıklanmadı.
Ne yapılmalı?
- AhsayCBS kullanıyorsanız Ahsay'in Ekim ortasında yayımladığı patch'in kurulu olduğunu üreticinin bildirimindeki sürüm listesiyle doğrulayın; sürüm numarası bu haberin kaynağında yer almıyor.
- Patch'ten önce internete açık kalmış sunucuları ele geçirilmiş varsayın: web uygulaması dizinlerinde beklenmeyen JSP dosyaları, Edge adını taşıyan ama olağan konumda olmayan süreçler, SYSTEM yetkili yeni zamanlanmış görevler ve Defender dışlama listesindeki değişiklikleri inceleyin.
- Yedekleme sunucularında yetkisiz uzaktan erişim yazılımlarını (AnyDesk, Atera, Splashtop) ve tünelleme araçlarını envanterle karşılaştırın.
- Aynı ortamda Veeam ya da başka bir yedekleme ürünü varsa, burada saklanan hypervisor, depo ve domain hesaplarının parolalarını değiştirmeyi change management sürecine alın.
- Yedekleme yönetim arayüzlerini internetten erişilemez hale getirin; erişimi VPN ya da yönetim ağıyla sınırlayın.
Yedekleme sunucuları ransomware saldırılarında da ilk hedeflerden biri olduğu için, bu tür bir sızmanın miner ile sınırlı kalacağı varsayılmamalı.
