AhsayCBS açıklarında Python arka kapısı tespit edildi

2026 yılı Ekim ayının başında Huntress adlı siber güvenlik firmasının tespit ettiği bir saldırı zinciri, AhsayCBS yedekleme platformundaki iki güvenlik açığının kritik sonuçlara yol açtığını gözler önüne serdi. Saldırganlar, kimlik doğrulamasını aşmak ve hedef sistemlerde istediği komutları çalıştırmak için CVE-2026-105133 ve CVE-2026-105134 numaralı açıkları kullandı. Ahsay Backup tarafından Ekim ayının ortasında yayınlanan güncel yamalarla kapatılan bu açıkların, yamalar gelmeden önce 'sıfır gün' (zero-day) olarak silahlandırıldığı değerlendiriliyor.
Huntress araştırmacısı Jonathan Semon'un raporuna göre, saldırgan basit bir fidye yazılımı veya veri çalma operasyonundan ziyade son derece sabırlı ve derinlemesine bir sızma operasyonu yürüttü. Operatör, temel görevi yedekleri depolamak olan sunucularda çok sayıda farklı nokta aracılığıyla komut çalıştırma yetenekleri taşıyan web kabukları yerleştirdi. Saldırgan, sistemlere iki farklı kripto para madencisi yerleştirerek kaynakları kendi lehine kullandı. Bunlardan ilki Microsoft Edge tarayıcısını taklit eden XMRig madencisi iken, ikincisi 'kvm-agent.exe' adlı bir görev yöneticisi kaydıyla günde defalarca başlatılan ikinci bir XMRig madencisiydi.

Kumanda sunucusuna bağlanan Python arka kapısı​

Saldırı zincirindeki en dikkat çekici bileşen, kumandan kaçmak için tasarlanmış özel bir Python arka kapısı (implant) oldu. 'main.py' adlı bu dosya, kendisini yalnızca orijinal hedefine yerleştirildiği ana bilgisayar üzerinde çalışacak şekilde programlanmıştı. Herhangi bir güvenlik uzmanının kumanda ortamında (sandbox) veya analiz makinesinde dosyayı çalıştırdığında, arka kapı işlevini yitiriyordu.
Bu korumayı sağlamak için Python dosyası, Windows sisteminin 'MachineGuid' değerinin SHA-256 özetini hesaplıyor ve kendi içinde barındırdığı x64 mimarili DLL dosyasını bu özetle eşleşen bir işaretleme dosyası bulduğunda belleğe yükleyerek çalıştırıyordu. Çalıştırılan bu içe gömülü modül, 'creepexplosiondarknight[.]com' adresindeki komuta ve kontrol (C2) sunucusu ile iletişim kurarak saldırgana uzaktan erişim imkanı sağlıyordu.

Yedekleme altyapısına yönelik hedefli istihbarat toplama​

Saltağran, AhsayCBS'nin yanı sıra ortamda bulunan başka bir Veeam sunucusunda da iz bıraktı. Huntress ekipleri, Veeam sunucusundaki PowerShell betiğinin, uzaktan WMI (Windows Yönetimiyatı Enstrümanları) üzerinden çalıştırılarak VeeamBackup PostgreSQL veritabanındaki parola bilgilerini çalmak ve DPAPI ile şifrelemelerini çözmek amacıyla kullanıldığını tespit etti. Semon, yedekleme yazılımlarının hipervizörler, depolar ve alan hesaplarına ait parolaları barındırdığına dikkat çekti. Bir Ahsay sunucusuna yerleşen saldırganın aynı ortamda Veeam sistemine erişim sağlamaya çalışması, operasyonun tesadüfi değil, doğrudan kurumsal yedekleme altyapısını hedef alan planlı bir saldırı olduğuna işaret ediyor.

Persan kalıcı erişim ve keşif araçları​

Yıkıcı etki bırakmak yerine sisteme tam hâkimiyet kurmayı hedefleyen saldırgan, kalıcı erişimi sağlamak için farklı tünelleme ve uzaktan erişim araçları kullandı. Bu araçlar arasında GOST ve Chisel tünelleme yazılımları ile AnyDesk, Atera ve Splashtop gibi yasal uzak masaüstü hizmetleri yer alıyordu. Saldırgan ayrıca, sistemin Microsoft Defender virüs koruması tarafından tespit edilme riskini düşürmek için korumaların dışlanması ayarlarını değiştirdi.
Başarılı saldırganlar; API tabanlı komut yürütme ve dosya aktarımı yapan nsmind.jsp, şifrelenmiş zarfları PNG görseli üzerinden gizleyen AhsayCBS.jsp, sabit bir anahtar eşleşmesiyle komut alan ve dosya yazan iki kabuk ile kendini silebilen ve sistemde genişlemeye yarayan rastgele isimli JSP kabuklarını sisteme entegre etti. Bu kapsamlı saldırı dizilimi, yetkili yazılım yamalarının zamanında uygulanmasının kurumsal altyapı için taşıdığı kritik önemi bir kez daha kanıtladı.

Sıkça Sorulan Sorular​

AhsayCBS açıklarını kullanan saldırganlar hangi zararlı programları yerleştirdi?​

Saltağranlar, hedef sunuculara beş farklı JSP web kabuğu, iki ayrı XMRig kripto para madencisi, GOST ve Chisel tünelleme araçları ile kumandadan kaçmaya yönelik tasarlanmış 'main.py' adında özel bir Python arka kapısı yerleştirdi.

Yerleştirilen Python arka kapısı neden kumanda sistemlerinde çalışmaz?​

Python arka kapısı, yalnızca hedef bilgisayarda depolanan MachineGuid değerine göre hesaplanan SHA-256 özet dosyasının aynı dizinde bulunması durumunda çalışacak şekilde tasarlandı. Bu mekanizma, saldırganın dosyayı güvenlik uzmanlarının analiz veya kumanda makinelerinde rahatlıkla çözebilmesini engelliyor.

Saldırgan yedekleme altyapısına niçin odaklandı?​

Araştırmacılar, yedekleme yazılımlarının (Ahsay ve Veeam) hipervizörler, veri depoları ve alan hesapları için kritik parolaları depoladığını tespit etti. Ahsay açığının Veeam sunucusundaki parola veri sorgusuyla eşleştirilmesi, saldırganın amacının doğrudan yedekleme altyapısındaki istihbaratı ve erişim yollarını ele geçirmek olduğunu gösteriyor.

Huntress araştırmacısı saldırının hangi yönüne dikkat çekti?​

Jonathan Semon, saldırının başlangıçta hızla yayılmayı amaçlayan basit bir 'smash-and-grab' (çapa ve kaç) takımı olmaktan ziyade son derece sabırlı ve çok katmanlı bir sızma olduğunu vurguladı. Saldırgan, sunucularda birçok farklı noktaya yedeklemeler yapabilecek web kabuklarını bırakıp kendi altyapısını genişletecek araçları gizlice çalıştırdı.

Yerleştirilen web kabuklarının güvenlik analizinde en gözde özelliği nedir?​

Yerleştirilen AhsayCBS.jsp başlıca kabuğu, şifrelenmiş özet yüklerini normal bir PNG görselinin piksel verileri arasına gizleyerek ve sistemi JDK 6 ve sonrası için tamamen bağımsız çalışan iç gömülü JSP sarmallarını kullanarak karmaşık servis konteynerlerinde tespit edilmeyi zorlaştırıyordu.