Atacantes dirigen sus ataques a servidores de copia de seguridad AhsayCBS con una puerta trasera sigilosa en Python

A principios de octubre de 2026, la firma de ciberseguridad Huntress observó una sofisticada campaña de intrusión dirigida a los servidores de copia de seguridad AhsayCBS. Los atacantes explotaron dos vulnerabilidades previamente desconocidas para eludir la autenticación e instalar malware persistente, incluida una puerta trasera personalizada en Python diseñada para evadir el análisis.

Ahsay Backup lanzó parches para estos fallos a mediados de octubre de 2026, pero el incidente destaca los riesgos que enfrenta la infraestructura de copias de seguridad autoalojada. La cadena de ataque demuestra un cambio desde la minería rápida de criptomonedas hacia la persistencia a largo plazo y el robo de credenciales dentro de entornos de datos críticos.

Qué ocurrió

La intrusión comenzó con la explotación de CVE-2026-105133 y CVE-2026-105134. Estas dos vulnerabilidades permitieron a los actores de amenazas eludir los mecanismos de autenticación y ejecutar comandos arbitrarios en los sistemas afectados. Huntress estima que estos fallos fueron armados como zero-days, lo que significa que fueron explotados activamente antes de que estuvieran disponibles los parches públicos. Mientras que las primeras observaciones de tácticas similares involucraban despliegues rápidos tipo "smash-and-grab" de mineros, esta campaña específica mostró una paciencia significativa y profundidad operativa.

Una vez dentro, los operadores desplegaron una compleja variedad de cinco web shells diferentes basadas en Jakarta Server Pages (JSP). Estas herramientas proporcionaban diversas capacidades, desde la ejecución básica de comandos hasta transferencias avanzadas de archivos y carga de payloads. Una shell notable, llamada AhsayCBS.jsp, se disfrazaba como un servicio interno de vista previa de imágenes. Ocultaba payloads cifrados dentro de los datos de píxeles de imágenes PNG y los ejecutaba directamente desde la memoria, dificultando su detección por parte de los escáneres de archivos estándar. Esta shell era compatible con Java Development Kit 6 y versiones posteriores, asegurando que pudiera funcionar en una amplia gama de contenedores servlet heredados y modernos.

Además de las web shells, los atacantes instalaron una puerta trasera personalizada en Python llamada main.py. Este implante presentaba capacidades anti-análisis, verificando el MachineGuid del host contra un archivo marcador para asegurar que no se estaba ejecutando en un entorno sandbox o de analista. Si la comprobación pasaba, cargaba una DLL x64 incrustada en la memoria para comunicarse con un servidor de comando y control en creepexplosiondarknight[.]com. Los atacantes también configuraron exclusiones de Microsoft Defender y desplegaron herramientas de túnel como GOST y Chisel, junto con software legítimo de acceso remoto como AnyDesk y Splashtop, para mantener el acceso persistente.

Detalles clave

• Vulnerabilidades: CVE-2026-105133 y CVE-2026-105134 fueron explotadas como zero-days para eludir la autenticación y permitir la ejecución remota de código.
• Web Shells: Se desplegaron cinco familias de web shells JSP, incluida una que ocultaba payloads en los píxeles de imágenes PNG y otra que podía eliminar rutas recursivamente.
• Puerta trasera en Python: El implante main.py utilizaba el hash SHA-256 del MachineGuid del host para detectar sandboxes y solo se ejecutaba si estaba presente un archivo marcador coincidente.
• Mineros de criptomonedas: Se instalaron dos variantes de XMRig, una haciéndose pasar por Microsoft Edge y otra como kvm-agent.exe, que se reiniciaba cada minuto mediante una tarea programada SYSTEM.
• Robo de credenciales: Las evidencias sugerían que los atacantes apuntaban específicamente a la infraestructura de copias de seguridad, utilizando scripts de PowerShell para consultar bases de datos PostgreSQL de VeeamBackup en busca de credenciales almacenadas.
• Persistencia: Los atacantes establecieron acceso a largo plazo utilizando herramientas de túnel, software legítimo de acceso remoto y exclusiones de Microsoft Defender.

Contexto

AhsayCBS es una solución de copia de seguridad que a menudo es autoalojada por organizaciones para gestionar sus flujos de trabajo de protección de datos. Al igual que muchas herramientas empresariales de backup, contiene credenciales de alto valor para hipervisores, repositorios de almacenamiento y cuentas de dominio. Esto la convierte en un objetivo principal para atacantes que buscan moverse lateralmente a través de una red o exfiltrar datos sensibles. El uso de web shells JSP es una táctica común en entornos basados en Java, permitiendo a los atacantes mantener el control incluso si la vulnerabilidad inicial es parcheada.

El concepto de "sandbox" en ciberseguridad se refiere a un entorno aislado donde el código sospechoso puede ejecutarse de forma segura para su análisis. Los autores de malware incluyen cada vez más comprobaciones anti-sandbox para evitar que su código se ejecute en estos entornos controlados, asegurando que los investigadores de seguridad no puedan estudiar fácilmente el payload. Al verificar identificadores específicos de hardware como el MachineGuid, la puerta trasera en Python en este caso aseguraba que solo operaría en la máquina de la víctima prevista.

Por qué importa

Para los equipos que alojan soluciones de copia de seguridad internamente, este incidente subraya la naturaleza crítica de la gestión de parches. Los servidores de backup a menudo se tratan como infraestructura de "configurar y olvidar", lo que lleva a actualizaciones retrasadas. Sin embargo, dado que estos sistemas poseen las llaves del resto del entorno de TI, son objetivos de alto valor. El uso de exploits zero-day significa que incluso los equipos diligentes pueden ser vulnerables hasta que se lancen los parches, destacando la necesidad de una monitorización robusta y segmentación de red alrededor de la infraestructura de copias de seguridad.

La sofisticación de la cadena de ataque también revela una tendencia hacia técnicas de living-off-the-land. Al utilizar herramientas legítimas como AnyDesk y PowerShell, y ocultar código malicioso dentro de archivos PNG de apariencia benigna, los atacantes redujeron su huella digital. Esto hace que la detección tradicional basada en firmas sea menos efectiva. Para los gestores de TI, esto significa que confiar únicamente en el software antivirus es insuficiente; la monitorización del comportamiento y los registros de auditoría son esenciales para detectar actividades anómalas como conexiones salientes inesperadas o ejecuciones inusuales de procesos.

Además, la orientación específica hacia las credenciales de backup sugiere una intención estratégica más allá del simple secuestro de recursos. Si los atacantes obtienen acceso a las credenciales de backup, potencialmente podrían descifrar y robar conjuntos de datos completos o desplegar ransomware que cifre tanto los datos activos como las copias de seguridad. Esto refuerza el principio de mínimo privilegio y la necesidad de aislar las redes de backup del tráfico corporativo general.

Qué puedes hacer

• Parchea inmediatamente: Asegúrate de que tus instancias de AhsayCBS estén actualizadas a la versión lanzada a mediados de octubre de 2026 o posterior para cerrar CVE-2026-105133 y CVE-2026-105134.
• Audita directorios web: Escanea tus directorios de servidor web en busca de archivos JSP desconocidos, especialmente aquellos con nombres que se asemejen a componentes del sistema o caracteres aleatorios.
• Monitoriza la ejecución de procesos: Busca procesos inusuales como scripts de Python ejecutándose desde directorios temporales o tareas programadas inesperadas que reinicien ejecutables como kvm-agent.exe.
• Revisa las reglas de firewall: Comprueba la presencia de herramientas de túnel no autorizadas como GOST o Chisel y restringe las conexiones salientes desde los servidores de backup solo a destinos necesarios.
• Valida las credenciales de backup: Rota las contraseñas de las cuentas de hipervisor y repositorio almacenadas en tu software de backup, y verifica que no se hayan realizado consultas no autorizadas a tus bases de datos de backup.
• Habilita el registro detallado: Asegúrate de que los registros de auditoría para el acceso a archivos y acciones administrativas estén habilitados y revisados regularmente en busca de signos de movimiento lateral o exfiltración de datos.