Siber güvenlik araştırmacıları, AhsayCBS yazılımında bulunan ve şu an yamalanmış olan iki güvenlik açığının kullanılarak sistemlere Python tabanlı bir implant yerleştirildiğine dair ayrıntıları paylaştı.
Huntress tarafından ekim 2026 başında tespit edilen saldırılarda, kimlik doğrulamayı atlamak ve etkilenen sistemlerde rastgele komutlar çalıştırmak için CVE-2026-105133 ve CVE-2026-105134 kodlu açıklar kullanıldı. Ahsay Backup, bu iki açık için yamaları ekim 2026 ortasında yayınladı.
Söz konusu açıkların, henüz yaması çıkmamış "sıfırıncı gün" (zero-day) saldırıları olarak kullanıldığı değerlendiriliyor. Yönetilen güvenlik platformu, tehdit aktörlerinin ele geçirdikleri sistemlere web shell'ler ve XMRig kripto para madencileri yerleştirmek için hızlı ve agresif bir yöntem izlediğini gözlemledi.
Huntress araştırmacısı Jonathan Semon, olayın çok daha büyük ve sabırlı bir sızma girişimini yansıttığını belirtti. Semon, saldırganın yedekleme yapmakla görevli sunucularda çeşitli noktalara shell'ler yerleştirdiğini, iki farklı madenci çalıştırdığını, tünelleme araçları kurduğunu ve özel bir implant yüklediğini kaydetti.
Bilinmeyen tehdit aktörünün, Jakarta Server Pages (JSP) tabanlı beş farklı web shell ailesi bıraktığı bildirildi:
nsmind.jsp: exec, cd, upload ve download parametrelerini kullanarak komut çalıştırma ve dosya transferi yapabilen imzalı bir API.
AhsayCBS.jsp: Şifreli yükleri PNG görsellerinin piksel verilerinde gizleyen ve bunları bellek üzerinden çalıştıran bir yükleyici.
Keyed command shell: Sabit kodlanmış bir anahtarı kendi kopyasıyla karşılaştıran ve eşleşme durumunda komutu "cmd.exe" üzerinden çalıştıran yapı.
Keyed shell with file write: Anahtarlı komut web shell'inin geliştirilmiş versiyonu olup, servis hesabının erişebildiği herhangi bir yola Base64 ile çözülmüş baytlar yazma ve daha fazla araç yükleme yeteneğine sahip.
status_<altı_rastgele_harf>.jsp veya st_<altı_rastgele_harf>.jsp (örneğin st_jgaejj.jsp): cmd, del ve rm parametrelerini kullanarak komut çalıştırmak, girilen herhangi bir yolu özyinelemeli olarak silmek ve kendisini yok etmek için kullanılan dosyalar.
Huntress, AhsayCBS.jsp'nin dahili bir görsel önizleme servisi gibi gizlendiğini, hatta filigran uç noktasını tanımlayan bir yorum bloğunun bile eklendiğini açıkladı. Web shell'in yalnızca JSP örtük nesnelerini ve tam nitelikli sınıf isimlerini kullandığı, bu sayede herhangi bir servlet konteynerinde ve Java Development Kit (JDK) 6 ve sonrası sürümlerde derlenebildiği belirtildi.
Saldırganların, Microsoft Edge kılığındaki bir XMRig madencisinin yanı sıra, farklı bir cüzdan ve madencilik havuzu kullanan ve SYSTEM zamanlanmış görevi aracılığıyla her dakika yeniden başlayan "kvm-agent.exe" adlı ikinci bir XMRig madencisi yerleştirdiği tespit edildi.
Sızma girişiminin en dikkat çekici kısmı, analiz araçlarından kaçan ve yalnızca yüklendiği ana makinede çalışacak şekilde tasarlanan "main.py" adlı Python arka kapısı oldu. Bu yazılım, analizcilerin makinelerinde veya sandbox ortamlarında çalışmayı engelliyor.
Yazılım, ana makinenin MachineGuid değerinin SHA-256 kriptografik özetini hesaplıyor ve Python implantının bulunduğu dizinde aynı isimde bir işaretleyici dosya arıyor. Ardından, "creepexplosiondarknight[.]com" adresindeki komuta kontrol (C2) sunucusuyla iletişim kuran x64 DLL dosyasını bellek üzerinde çalıştırıyor.
Saldırganlar, fark edilmemek için Microsoft Defender istisnaları yapılandırırken; kalıcı erişim sağlamak amacıyla GOST ve Chisel tünelleme araçları ile AnyDesk, Atera ve Splashtop gibi yasal uzak erişim yazılımları kullandılar.
Elde edilen kanıtlar, tehdit aktörünün özellikle yedekleme yapan veya yöneten sunucuları hedeflemiş olabileceğini gösteriyor.
Semon, aynı ortamdaki bir Veeam sunucusunda, NetExec'in Veeam kimlik hırsızlığı modülüyle uyumlu bir komut gördüklerini belirtti. WMI üzerinden uzaktan başlatılan bir PowerShell betiğinin, VeeamBackup PostgreSQL veritabanındaki kayıtlı kimlik bilgilerini sorguladığı ve bunları DPAPI ile çözdüğü ortaya çıktı.
Semon, yedekleme yazılımlarının hipervizörler, depolar ve etki alanı hesapları için kimlik bilgileri tuttuğunu vurguladı. Kaç adet kimlik bilgisinin ele geçirildiğinin bilinmediğini ancak Ahsay sızması ile Veeam kimlik sorgusunun birleşmesinin, saldırganın tesadüfen değil, bilinçli olarak yedekleme altyapısıyla ilgilendiğini gösterdiğini söyledi.
Güncelleme
Singapur merkezli Ahsay Backup, platformun güvenlik duruşunu artırmak için ek güvenlik sıkılaştırma güncellemeleri içeren 10.3.6.1 sürümünü yayınladı ve ortaklarını en son düzeltmeleri uygulamaya çağırdı.
Şirket, siber suçluların güvenlik açıklarını istismar etmeyi hızlandırmak ve geliştirmek için yapay zekâ destekli teknikleri giderek daha fazla kullandığını belirtti. Bu durumun tüm sektörlerdeki yazılım satıcılarının karşılaştığı bir zorluk olduğunu ve olayın Ahsay'a özgü değil, genel bir gerçekliği yansıttığını ifade etti.
Yapılan iyileştirmelerin, giderek karmaşıklaşan yapay zekâ destekli saldırılar da dahil olmak üzere yeni siber tehditlere karşı Ahsay çözümlerinin direncini artırmak için tasarlandığı kaydedildi.
Ahsay ayrıca, 9 ekim 2026 tarihinde ortaklarından AhsayCBS sunucu ortamlarını etkileyen yetkisiz erişim olayları hakkında raporlar almaya başladığını, bunun üzerine 10 ve 12 ekim 2026 tarihlerinde 9. ve 10. versiyonlar için acil yamalar yayınladığını açıkladı.
Şirket, müşterilerin AhsayCBS sunucularının ele geçirilip geçirilmediğini kontrol edebilmeleri için şu göstergeleri paylaştı:
Sabit sürücünün kök dizininde oluşturulmuş şüpheli klasör isimleri (örneğin ahsay_ts, ahsay_t8, ahsay_t9, ahsay_t20, ahsay_t21, srv, user ve opt).
"%CBS%\webapps" klasöründe "75bc584d292933ad.jsp" gibi rastgele oluşturulmuş isimlere sahip çok sayıda JSP dosyası ve/veya xtj7iu, kje74x ve 103y9r gibi küçük harf ve rakamlardan oluşan klasörler.
Yetkisiz RPS alıcılarının eklenmesi.
"Admin" tipi yetkilere sahip yetkisiz AhsayCBS kullanıcı hesaplarının varlığı.
Kötü amaçlı bir faaliyet tespit edilmesi durumunda, yedekleme sunucusuna Windows veya Linux'un yeniden kurulması, AhsayCBS'nin en son sürümünün yüklenmesi ve sızma tarihinden önceki bir sunucu yapılandırma versiyonu kullanılarak Auto Save üzerinden geri yükleme yapılması öneriliyor.
Şirket, en iyi uygulama olarak, yetkisiz erişim sırasında oluşturulan şüpheli klasör veya dosyaların zaman damgasından en az bir gün önceki bir Auto Save versiyonunun seçilmesi gerektiğini belirtti.
