Angreifer zielen mit verstecktem Python-Backdoor auf AhsayCBS-Backup-Server

Anfang Oktober 2026 beobachtete das Cybersicherheitsunternehmen Huntress eine ausgefeilte Intrusion-Kampagne, die sich gegen AhsayCBS-Backup-Server richtete. Die Angreifer nutzten zwei zuvor unbekannte Schwachstellen aus, um die Authentifizierung zu umgehen und persistente Malware zu installieren, darunter ein maßgeschneidertes Python-Backdoor, das darauf ausgelegt war, Analysen zu entgehen.

Ahsay Backup veröffentlichte im Oktober 2026 Patches für diese Sicherheitslücken, doch der Vorfall unterstreicht die Risiken, denen selbst gehostete Backup-Infrastrukturen ausgesetzt sind. Die Angriffskette zeigt einen Wandel von schnellem Kryptomining hin zu langfristiger Persistenz und Credential-Diebstahl in kritischen Datenumgebungen.

Was passiert ist

Die Intrusion begann mit der Ausnutzung von CVE-2026-105133 und CVE-2026-105134. Diese beiden Schwachstellen ermöglichten es den Bedrohungsakteuren, Authentifizierungsmechanismen zu umgehen und beliebige Befehle auf den betroffenen Systemen auszuführen. Huntress schätzt ein, dass diese Fehler als Zero-Days weaponisiert wurden, was bedeutet, dass sie aktiv ausgenutzt wurden, bevor öffentliche Patches verfügbar waren. Während frühere Beobachtungen ähnlicher Taktiken schnelle „Smash-and-Grab“-Installationen von Minern betrafen, zeigte diese spezifische Kampagne erhebliche Geduld und operative Tiefe.

Nach dem Eindringen installierten die Operatoren ein komplexes Array aus fünf verschiedenen Jakarta Server Pages (JSP) Web-Shells. Diese Tools boten verschiedene Fähigkeiten, von der grundlegenden Befehlsausführung bis hin zu fortgeschrittenen Dateiübertragungen und Payload-Ladungen. Eine bemerkenswerte Shell namens AhsayCBS.jsp tarnte sich als interner Bildvorschau-Dienst. Sie verbarg verschlüsselte Payloads innerhalb der Pixeldaten von PNG-Bildern und führte sie direkt aus dem Speicher aus, was die Erkennung durch Standard-Dateiscanner erschwerte. Diese Shell war mit Java Development Kit 6 und neuer kompatibel, sodass sie auf einer breiten Palette von Legacy- und modernen Servlet-Containern laufen konnte.

Neben den Web-Shells installierten die Angreifer ein maßgeschneidertes Python-Backdoor namens main.py. Dieses Implantat verfügte über Anti-Analyse-Funktionen und prüfte die MachineGuid des Hosts gegen eine Markerdatei, um sicherzustellen, dass es nicht in einer Sandbox oder Analystenumgebung lief. Wenn die Prüfung erfolgreich war, lud es eine eingebettete x64 DLL in den Speicher, um mit einem Command-and-Control-Server unter creepexplosiondarknight[.]com zu kommunizieren. Die Angreifer konfigurierten zudem Microsoft Defender-Ausschlüsse und setzten Tunneling-Tools wie GOST und Chisel sowie legitime Remote-Access-Software wie AnyDesk und Splashtop ein, um persistenten Zugriff aufrechtzuerhalten.

Wichtige Details

• Schwachstellen: CVE-2026-105133 und CVE-2026-105134 wurden als Zero-Days ausgenutzt, um die Authentifizierung zu umgehen und Remote Code Execution zu ermöglichen.
• Web-Shells: Fünf Familien von JSP-Web-Shells wurden installiert, darunter eine, die Payloads in PNG-Bildpixeln versteckte, und eine andere, die Pfade rekursiv löschen konnte.
• Python-Backdoor: Das main.py-Implantat verwendete SHA-256-Hashing der MachineGuid des Hosts zur Sandbox-Erkennung und führte nur dann aus, wenn eine passende Markerdatei vorhanden war.
• Kryptominer: Zwei Varianten von XMRig wurden installiert, eine getarnt als Microsoft Edge und eine andere als kvm-agent.exe, die jede Minute über einen SYSTEM-geplanten Task neu gestartet wurde.
• Credential-Diebstahl: Hinweise deuten darauf hin, dass die Angreifer gezielt Backup-Infrastrukturen anvisierten und PowerShell-Skripte nutzten, um VeeamBackup PostgreSQL-Datenbanken nach gespeicherten Credentials abzufragen.
• Persistenz: Die Angreifer etablierten langfristigen Zugriff mittels Tunneling-Tools, legitimer Remote-Access-Software und Microsoft Defender-Ausschlüssen.

Hintergrund

AhsayCBS ist eine Backup-Lösung, die von Organisationen häufig selbst gehostet wird, um ihre Data-Protection-Workflows zu verwalten. Wie viele Enterprise-Backup-Tools enthält es hochwertige Credentials für Hypervisoren, Storage-Repositories und Domänenkonten. Dies macht es zu einem primären Ziel für Angreifer, die lateral im Netzwerk navigieren oder sensible Daten exfiltrieren wollen. Der Einsatz von JSP-Web-Shells ist eine gängige Taktik in Java-basierten Umgebungen, die es Angreifern ermöglicht, die Kontrolle auch dann aufrechtzuerhalten, wenn die ursprüngliche Schwachstelle gepatcht wurde.

Das Konzept einer „Sandbox“ in der Cybersicherheit bezieht sich auf eine isolierte Umgebung, in der verdächtiger Code sicher zur Analyse ausgeführt werden kann. Malware-Autoren bauen zunehmend Anti-Sandbox-Prüfungen ein, um zu verhindern, dass ihr Code in diesen kontrollierten Einstellungen läuft, damit Sicherheitsforscher den Payload nicht leicht untersuchen können. Durch die Verifizierung spezifischer Hardware-Identifier wie der MachineGuid stellte das Python-Backdoor in diesem Fall sicher, dass es nur auf dem beabsichtigten Opfer-Maschine operiert.

Warum es wichtig ist

Für Teams, die Backup-Lösungen selbst hosten, unterstreicht dieser Vorfall die kritische Bedeutung des Patch-Managements. Backup-Server werden oft als „Set-and-forget“-Infrastruktur behandelt, was zu verzögerten Updates führt. Da diese Systeme jedoch die Schlüssel zum Rest der IT-Umgebung enthalten, sind sie hochgradig attraktive Ziele. Die Nutzung von Zero-Day-Exploits bedeutet, dass selbst gewissenhafte Teams verwundbar bleiben, bis Patches veröffentlicht werden, was die Notwendigkeit robuster Überwachung und Netzwerksegmentierung rund um die Backup-Infrastruktur hervorhebt.

Die Raffinesse der Angriffskette offenbart zudem einen Trend zu Living-off-the-Land-Techniken. Durch die Nutzung legitimer Tools wie AnyDesk und PowerShell sowie das Verstecken bösartigen Codes in harmlos aussehenden PNG-Dateien reduzierten die Angreifer ihren Footprint. Dies macht traditionelle signaturbasierte Erkennungen weniger effektiv. Für IT-Manager bedeutet dies, dass das alleinige Vertrauen auf Antivirus-Software unzureichend ist; Verhaltensmonitoring und Audit-Logs sind wesentlich, um anomale Aktivitäten wie unerwartete ausgehende Verbindungen oder ungewöhnliche Prozessausführungen zu erkennen.

Darüber hinaus deutet die gezielte Anvisierung von Backup-Credentials auf eine strategische Absicht über einfaches Ressourcen-Hijacking hinaus. Wenn Angreifer Zugang zu Backup-Credentials erhalten, können sie potenziell gesamte Datensätze entschlüsseln und stehlen oder Ransomware deployen, die sowohl Live-Daten als auch Backups verschlüsselt. Dies bekräftigt das Prinzip der minimalen Rechtevergabe (Least Privilege) und die Notwendigkeit, Backup-Netzwerke vom allgemeinen Unternehmensverkehr zu isolieren.

Was Sie tun können

• Sofort patchen: Stellen Sie sicher, dass Ihre AhsayCBS-Instanzen auf die Version aktualisiert sind, die Mitte Oktober 2026 oder später veröffentlicht wurde, um CVE-2026-105133 und CVE-2026-105134 zu schließen.
• Web-Verzeichnisse auditieren: Scannen Sie Ihre Webserver-Verzeichnisse nach unbekannten JSP-Dateien, insbesondere solchen mit Namen, die nach Systemkomponenten oder zufälligen Zeichen aussehen.
• Prozessausführung überwachen: Achten Sie auf ungewöhnliche Prozesse wie Python-Skripte, die aus temporären Verzeichnissen laufen, oder unerwartete geplante Tasks, die Executables wie kvm-agent.exe neu starten.
• Firewall-Regeln überprüfen: Suchen Sie nach nicht autorisierten Tunneling-Tools wie GOST oder Chisel und beschränken Sie ausgehende Verbindungen von Backup-Servern auf notwendige Destinationen.
• Backup-Credentials validieren: Rotieren Sie Passwörter für Hypervisor- und Repository-Konten, die in Ihrer Backup-Software gespeichert sind, und prüfen Sie, ob keine nicht autorisierten Abfragen an Ihre Backup-Datenbanken gestellt wurden.
• Detaillierte Protokollierung aktivieren: Stellen Sie sicher, dass Audit-Logs für Dateizugriffe und administrative Aktionen aktiviert und regelmäßig auf Anzeichen lateraler Bewegung oder Datenexfiltration überprüft werden.