Tin tặc nhắm mục tiêu vào máy chủ sao lưu AhsayCBS với backdoor Python ẩn nấp

Vào đầu tháng 10 năm 2026, công ty an ninh mạng Huntress đã phát hiện một chiến dịch xâm nhập tinh vi nhằm vào các máy chủ sao lưu AhsayCBS. Tin tặc đã khai thác hai lỗ hổng chưa từng được biết đến trước đó để vượt qua xác thực và cài đặt phần mềm độc hại tồn tại lâu dài, bao gồm một backdoor Python tùy chỉnh được thiết kế để né tránh việc phân tích.

Ahsay Backup đã phát hành các bản vá cho những lỗi này vào giữa tháng 10 năm 2026, nhưng sự cố này làm nổi bật những rủi ro mà hạ tầng sao lưu tự quản lý (self-hosted) đang phải đối mặt. Chuỗi tấn công cho thấy sự chuyển dịch từ việc đào tiền mã hóa nhanh chóng sang duy trì quyền truy cập lâu dài và đánh cắp thông tin đăng nhập trong các môi trường dữ liệu quan trọng.

Điều gì đã xảy ra

Cuộc xâm nhập bắt đầu bằng việc khai thác CVE-2026-105133 và CVE-2026-105134. Hai lỗ hổng này cho phép các nhóm đe dọa vượt qua cơ chế xác thực và thực thi lệnh tùy ý trên các hệ thống bị ảnh hưởng. Huntress đánh giá rằng những lỗi này đã được vũ khí hóa dưới dạng zero-day, nghĩa là chúng bị khai thác tích cực trước khi các bản vá công khai được phát hành. Trong khi các quan sát ban đầu về những chiến thuật tương tự liên quan đến việc triển khai nhanh "smash-and-grab" các trình đào coin, chiến dịch cụ thể này lại thể hiện sự kiên nhẫn đáng kể và chiều sâu hoạt động.

Sau khi xâm nhập thành công, các tin tặc đã triển khai một loạt phức tạp gồm năm loại web shell Jakarta Server Pages (JSP) khác nhau. Các công cụ này cung cấp nhiều khả năng, từ thực thi lệnh cơ bản đến truyền tải file nâng cao và nạp payload. Một web shell đáng chú ý tên là AhsayCBS.jsp đã giả mạo là một dịch vụ xem trước hình ảnh nội bộ. Nó giấu các payload được mã hóa trong dữ liệu pixel của hình ảnh PNG và thực thi trực tiếp từ bộ nhớ, khiến việc phát hiện bởi các trình quét file tiêu chuẩn trở nên khó khăn hơn. Web shell này tương thích với Java Development Kit 6 trở lên, đảm bảo nó có thể chạy trên nhiều loại servlet container cũ và mới.

Ngoài các web shell, tin tặc còn cài đặt một backdoor Python tùy chỉnh tên là main.py. Implant này có các tính năng chống phân tích, kiểm tra MachineGuid của máy chủ so với một tệp marker để đảm bảo nó không chạy trong môi trường sandbox hoặc môi trường phân tích. Nếu kiểm tra thành công, nó sẽ nạp một DLL x64 nhúng vào bộ nhớ để giao tiếp với máy chủ điều khiển và chỉ huy (command-and-control) tại creepexplosiondarknight[.]com. Tin tặc cũng cấu hình các ngoại lệ cho Microsoft Defender và triển khai các công cụ tunneling như GOST và Chisel, cùng với phần mềm truy cập từ xa hợp pháp như AnyDesk và Splashtop, để duy trì quyền truy cập lâu dài.

Chi tiết chính

• Lỗ hổng: CVE-2026-105133 và CVE-2026-105134 đã bị khai thác dưới dạng zero-day để vượt qua xác thực và cho phép thực thi mã từ xa.
• Web Shell: Năm họ web shell JSP đã được triển khai, bao gồm một loại giấu payload trong pixel ảnh PNG và một loại khác có thể xóa đệ quy các đường dẫn.
• Backdoor Python: Implant main.py sử dụng hàm băm SHA-256 của MachineGuid trên máy chủ để phát hiện sandbox và chỉ thực thi nếu có tệp marker khớp.
• Trình đào coin: Hai biến thể XMRig đã được cài đặt, một giả mạo Microsoft Edge và một giả mạo kvm-agent.exe, được khởi động lại mỗi phút thông qua tác vụ lập lịch SYSTEM.
• Đánh cắp thông tin đăng nhập: Bằng chứng cho thấy tin tặc nhắm mục tiêu cụ thể vào hạ tầng sao lưu, sử dụng các script PowerShell để truy vấn cơ sở dữ liệu PostgreSQL của VeeamBackup nhằm tìm kiếm thông tin đăng nhập đã lưu trữ.
• Duy trì quyền truy cập: Tin tặc thiết lập quyền truy cập lâu dài bằng cách sử dụng các công cụ tunneling, phần mềm truy cập từ xa hợp pháp và các ngoại lệ của Microsoft Defender.

Bối cảnh

AhsayCBS là một giải pháp sao lưu thường được các tổ chức tự quản lý để xử lý các quy trình bảo vệ dữ liệu. Giống như nhiều công cụ sao lưu doanh nghiệp khác, nó lưu giữ các thông tin đăng nhập có giá trị cao cho hypervisor, kho lưu trữ và tài khoản domain. Điều này khiến nó trở thành mục tiêu hàng đầu cho những kẻ tấn công muốn di chuyển ngang (lateral movement) qua mạng hoặc trích xuất dữ liệu nhạy cảm. Việc sử dụng web shell JSP là một chiến thuật phổ biến trong các môi trường dựa trên Java, cho phép tin tặc duy trì quyền kiểm soát ngay cả khi lỗ hổng ban đầu đã được vá.

Khái niệm "sandbox" trong an ninh mạng đề cập đến một môi trường cô lập nơi mã đáng ngờ có thể được thực thi một cách an toàn để phân tích. Các tác giả malware ngày càng tích hợp nhiều kiểm tra chống sandbox để ngăn mã của họ chạy trong các môi trường kiểm soát này, đảm bảo rằng các nhà nghiên cứu bảo mật không thể dễ dàng nghiên cứu payload. Bằng cách xác minh các định danh phần cứng cụ thể như MachineGuid, backdoor Python trong trường hợp này đảm bảo nó chỉ hoạt động trên máy của nạn nhân dự kiến.

Tại sao điều này quan trọng

Đối với các đội ngũ tự quản lý giải pháp sao lưu, sự cố này nhấn mạnh tầm quan trọng then chốt của việc quản lý bản vá. Máy chủ sao lưu thường được coi là hạ tầng "cài đặt rồi quên đi", dẫn đến việc cập nhật chậm trễ. Tuy nhiên, vì các hệ thống này nắm giữ chìa khóa cho phần còn lại của môi trường IT, chúng là những mục tiêu có giá trị cao. Việc sử dụng các exploit zero-day có nghĩa là ngay cả những đội ngũ chăm chỉ cũng có thể bị tổn thương cho đến khi các bản vá được phát hành, làm nổi bật nhu cầu về giám sát mạnh mẽ và phân đoạn mạng xung quanh hạ tầng sao lưu.

Sự tinh vi của chuỗi tấn công cũng tiết lộ xu hướng sử dụng các kỹ thuật living-off-the-land (sử dụng công cụ sẵn có). Bằng cách dùng các công cụ hợp pháp như AnyDesk và PowerShell, và giấu mã độc trong các tệp PNG trông vô hại, tin tặc đã giảm thiểu dấu vết của mình. Điều này làm cho việc phát hiện dựa trên chữ ký truyền thống kém hiệu quả hơn. Đối với các quản lý IT, điều này có nghĩa là chỉ dựa vào phần mềm diệt virus là không đủ; giám sát hành vi và nhật ký kiểm toán là rất cần thiết để phát hiện các hoạt động bất thường như kết nối outbound không mong muốn hoặc thực thi tiến trình lạ.

Hơn nữa, việc nhắm mục tiêu cụ thể vào thông tin đăng nhập sao lưu cho thấy ý đồ chiến lược vượt ra ngoài việc chiếm dụng tài nguyên đơn thuần. Nếu tin tặc giành được quyền truy cập vào thông tin đăng nhập sao lưu, chúng có thể giải mã và đánh cắp toàn bộ tập dữ liệu hoặc triển khai ransomware mã hóa cả dữ liệu đang hoạt động lẫn bản sao lưu. Điều này củng cố nguyên tắc đặc quyền tối thiểu (least privilege) và nhu cầu cô lập mạng sao lưu khỏi lưu lượng chung của doanh nghiệp.

Bạn có thể làm gì

• Vá lỗi ngay lập tức: Đảm bảo các instance AhsayCBS của bạn được cập nhật lên phiên bản phát hành vào giữa tháng 10 năm 2026 hoặc mới hơn để khắc phục CVE-2026-105133 và CVE-2026-105134.
• Kiểm toán thư mục web: Quét các thư mục máy chủ web của bạn để tìm các tệp JSP không xác định, đặc biệt là những tệp có tên giống các thành phần hệ thống hoặc ký tự ngẫu nhiên.
• Giám sát thực thi tiến trình: Tìm kiếm các tiến trình bất thường như script Python chạy từ thư mục tạm thời hoặc các tác vụ lập lịch không mong muốn khởi động lại các tệp thực thi như kvm-agent.exe.
• Xem xét quy tắc tường lửa: Kiểm tra các công cụ tunneling trái phép như GOST hoặc Chisel và hạn chế kết nối outbound từ máy chủ sao lưu chỉ tới các đích cần thiết.
• Xác thực thông tin đăng nhập sao lưu: Xoay vòng mật khẩu cho các tài khoản hypervisor và repository được lưu trữ trong phần mềm sao lưu của bạn, và xác minh rằng không có truy vấn trái phép nào được thực hiện tới cơ sở dữ liệu sao lưu.
• Bật ghi log chi tiết: Đảm bảo rằng nhật ký kiểm toán cho việc truy cập tệp và các hành động quản trị được bật và xem xét thường xuyên để tìm dấu hiệu di chuyển ngang hoặc trích xuất dữ liệu.