Des attaquants ciblent les serveurs de sauvegarde AhsayCBS avec une backdoor Python furtive

Début octobre 2026, la firme de cybersécurité Huntress a observé une campagne d'intrusion sophistiquée ciblant les serveurs de sauvegarde AhsayCBS. Les attaquants ont exploité deux vulnérabilités jusqu'alors inconnues pour contourner l'authentification et installer des logiciels malveillants persistants, dont une backdoor Python personnalisée conçue pour échapper à l'analyse.

Ahsay Backup a publié des correctifs pour ces failles à la mi-octobre 2026, mais cet incident met en lumière les risques pesant sur les infrastructures de sauvegarde auto-hébergées. La chaîne d'attaque démontre un glissement du minage rapide de cryptomonnaies vers une persistance à long terme et le vol de credentials au sein d'environnements de données critiques.

Ce qui s'est passé

L'intrusion a commencé par l'exploitation des CVE-2026-105133 et CVE-2026-105134. Ces deux vulnérabilités permettaient aux acteurs menaçants de contourner les mécanismes d'authentification et d'exécuter des commandes arbitraires sur les systèmes affectés. Huntress estime que ces failles ont été weaponisées en tant que zero-days, ce qui signifie qu'elles étaient activement exploitées avant la disponibilité de correctifs publics. Alors que les premières observations de tactiques similaires impliquaient des déploiements rapides « smash-and-grab » de mineurs, cette campagne spécifique a fait preuve d'une patience et d'une profondeur opérationnelle significatives.

Une fois à l'intérieur, les opérateurs ont déployé un ensemble complexe de cinq web shells Jakarta Server Pages (JSP) différents. Ces outils offraient diverses capacités, allant de l'exécution basique de commandes aux transferts avancés de fichiers et au chargement de charges utiles. Un shell notable, nommé AhsayCBS.jsp, se dissimulait sous l'apparence d'un service interne de prévisualisation d'images. Il cachait des charges utiles chiffrées dans les données pixel des images PNG et les exécutait directement depuis la mémoire, rendant leur détection par les scanners de fichiers standards plus difficile. Ce shell était compatible avec Java Development Kit 6 et versions ultérieures, garantissant son fonctionnement sur un large éventail de conteneurs servlet hérités et modernes.

Au-delà des web shells, les attaquants ont installé une backdoor Python personnalisée nommée main.py. Cet implant disposait de capacités anti-analyse, vérifiant le MachineGuid de l'hôte contre un fichier marqueur pour s'assurer qu'il ne tournait pas dans un environnement sandbox ou d'analyste. Si le contrôle passait, il chargeait une DLL x64 embarquée en mémoire pour communiquer avec un serveur de command-and-control situé à creepexplosiondarknight[.]com. Les attaquants ont également configuré des exclusions Microsoft Defender et déployé des outils de tunneling comme GOST et Chisel, ainsi que des logiciels d'accès à distance légitimes tels qu'AnyDesk et Splashtop, afin de maintenir un accès persistant.

Détails clés

• Vulnérabilités : Les CVE-2026-105133 et CVE-2026-105134 ont été exploitées en tant que zero-days pour contourner l'authentification et permettre l'exécution de code à distance.
• Web Shells : Cinq familles de web shells JSP ont été déployées, dont une qui cachait des charges utiles dans les pixels des images PNG et une autre capable de supprimer récursivement des chemins.
• Backdoor Python : L'implant main.py utilisait le hachage SHA-256 du MachineGuid de l'hôte pour détecter les sandboxes et ne s'exécutait que si un fichier marqueur correspondant était présent.
• Cryptomineurs : Deux variantes de XMRig ont été installées, l'une se faisant passer pour Microsoft Edge et l'autre pour kvm-agent.exe, laquelle redémarrait chaque minute via une tâche planifiée SYSTEM.
• Vol de credentials : Des preuves suggèrent que les attaquants visaient spécifiquement l'infrastructure de sauvegarde, utilisant des scripts PowerShell pour interroger les bases de données PostgreSQL VeeamBackup à la recherche de credentials stockés.
• Persistance : Les attaquants ont établi un accès à long terme grâce à des outils de tunneling, des logiciels d'accès à distance légitimes et des exclusions Microsoft Defender.

Contexte

AhsayCBS est une solution de sauvegarde souvent auto-hébergée par les organisations pour gérer leurs flux de travail de protection des données. Comme beaucoup d'outils de sauvegarde d'entreprise, elle détient des credentials de haute valeur pour les hyperviseurs, les dépôts de stockage et les comptes de domaine. Cela en fait une cible privilégiée pour les attaquants visant à se déplacer latéralement sur un réseau ou à exfiltrer des données sensibles. L'utilisation de web shells JSP est une tactique courante dans les environnements basés sur Java, permettant aux attaquants de conserver le contrôle même si la vulnérabilité initiale est corrigée.

Le concept de « sandbox » en cybersécurité fait référence à un environnement isolé où du code suspect peut être exécuté en toute sécurité pour analyse. Les auteurs de malwares incluent de plus en plus de contrôles anti-sandbox pour empêcher leur code de s'exécuter dans ces paramètres contrôlés, garantissant que les chercheurs en sécurité ne peuvent pas étudier facilement la charge utile. En vérifiant des identifiants matériels spécifiques comme le MachineGuid, la backdoor Python dans ce cas s'assurait qu'elle ne fonctionnerait que sur la machine de la victime visée.

Pourquoi cela compte

Pour les équipes qui auto-hébergent des solutions de sauvegarde, cet incident souligne la nature critique de la gestion des correctifs. Les serveurs de sauvegarde sont souvent traités comme des infrastructures « set-and-forget », entraînant des mises à jour retardées. Cependant, comme ces systèmes détiennent les clés du reste de l'environnement IT, ils constituent des cibles de haute valeur. L'utilisation d'exploits zero-day signifie que même les équipes diligentes peuvent être vulnérables jusqu'à la publication des correctifs, soulignant la nécessité d'une surveillance robuste et d'une segmentation réseau autour de l'infrastructure de sauvegarde.

La sophistication de la chaîne d'attaque révèle également une tendance vers les techniques living-off-the-land. En utilisant des outils légitimes comme AnyDesk et PowerShell, et en cachant du code malveillant dans des fichiers PNG d'apparence bénigne, les attaquants ont réduit leur empreinte. Cela rend la détection traditionnelle basée sur les signatures moins efficace. Pour les responsables IT, cela signifie que compter uniquement sur le logiciel antivirus est insuffisant ; la surveillance comportementale et les journaux d'audit sont essentiels pour détecter les activités anormales telles que les connexions sortantes inattendues ou les exécutions de processus inhabituelles.

De plus, le ciblage spécifique des credentials de sauvegarde suggère une intention stratégique au-delà du simple détournement de ressources. Si les attaquants accèdent aux credentials de sauvegarde, ils peuvent potentiellement déchiffrer et voler des jeux de données entiers ou déployer des ransomwares qui chiffrent à la fois les données actives et les sauvegardes. Cela renforce le principe du moindre privilège et la nécessité d'isoler les réseaux de sauvegarde du trafic général de l'entreprise.

Ce que vous pouvez faire

• Appliquer les correctifs immédiatement : Assurez-vous que vos instances AhsayCBS sont mises à jour vers la version publiée à la mi-octobre 2026 ou ultérieure pour combler les CVE-2026-105133 et CVE-2026-105134.
• Auditer les répertoires web : Scannez vos répertoires de serveurs web à la recherche de fichiers JSP inconnus, en particulier ceux dont les noms ressemblent à des composants système ou contiennent des caractères aléatoires.
• Surveiller l'exécution des processus : Recherchez des processus inhabituels tels que des scripts Python s'exécutant depuis des répertoires temporaires ou des tâches planifiées inattendues redémarrant des exécutables comme kvm-agent.exe.
• Passer en revue les règles de pare-feu : Vérifiez la présence d'outils de tunneling non autorisés comme GOST ou Chisel et restreignez les connexions sortantes des serveurs de sauvegarde aux seules destinations nécessaires.
• Valider les credentials de sauvegarde : Faites tourner les mots de passe des comptes d'hyperviseur et de dépôt stockés dans votre logiciel de sauvegarde, et vérifiez qu'aucune requête non autorisée n'a été effectuée sur vos bases de données de sauvegarde.
• Activer la journalisation détaillée : Assurez-vous que les journaux d'audit pour l'accès aux fichiers et les actions administratives sont activés et revus régulièrement pour détecter des signes de mouvement latéral ou d'exfiltration de données.