Peneliti keamanan siber telah membeberkan rincian aksi peretasan yang mengeksploitasi sepasang kerentanan teranyar di AhsayCBS guna menyuntikkan implan berbahaya berbasis Python.
Operasi siber yang dipantau oleh tim Huntress pada permulaan Oktober 2026 ini memanfaatkan rangkaian celah CVE-2026-105133 dan CVE-2026-105134 untuk menembus autentikasi serta menjalankan instruksi sistem berbahaya secara leluasa pada perangkat sasaran. Pembaruan keamanan untuk menambal kedua kelemahan tersebut telah dirilis secara resmi oleh Ahsay Backup pada medio Oktober 2026.
Kedua celah keamanan tersebut diyakini telah dipersenjatai sejak masih berstatus zero-day. Platform keamanan terkelola itu mulanya memantau pelaku kejahatan siber memanfaatkan metode smash-and-grab untuk menanam web shell serta perangkat lunak penambang mata uang kripto XMRig pada sistem yang sukses diterobos.
"Kendati demikian, insiden kali ini memperlihatkan penerobosan berskala jauh lebih masif dengan tingkat ketabahan tinggi; sang operator menyusupkan shell ke sejumlah lokasi, memutar dua instans penambang berbeda, memasang perkakas tunneling, dan menyematkan implan kustom, seluruhnya dieksekusi pada mesin peladen yang fungsinya menyimpan cadangan data," tutur peneliti Huntress, Jonathan Semon.
Secara terperinci, entitas ancaman tak dikenal itu terbukti meninggalkan sebanyak lima varian rumpun web shell Jakarta Server Pages (JSP, yang sebelumnya lebih dikenal sebagai JavaServer Pages).
"Kamuflase [AhsayCBS.jsp] yang berpura-pura menjadi layanan pratinjau citra internal bahkan dirancang begitu rapi sampai mencakup blok komentar yang mendeskripsikan endpoint watermark," terang pihak Huntress. "Web shell ini murni memanfaatkan objek implisit JSP dan penamaan fully qualified class, yang artinya berkas tersebut sanggup dikompilasi pada sembarang kontainer servlet maupun di atas lingkungan Java Development Kit (JDK) 6 ke atas."
Selain menyebarkan penambang XMRig yang berkamuflase menyerupai peramban Microsoft Edge, agresi siber ini diketahui meluncurkan penambang XMRig kedua ("kvm-agent.exe") yang beroperasi ulang setiap menit lewat tugas terjadwal berstatus SYSTEM, dengan dompet kripto serta mining pool yang berbeda.
Segi paling menonjol dari intrusi ini tertumpu pada backdoor Python ("main.py"), yang diprogram secara eksklusif agar sekadar berjalan di perangkat inang tempat ia ditempatkan serta menolak beroperasi di dalam sandbox atau komputer analis.
Mekanisme ini dicapai melalui penghitungan hash kriptografi SHA-256 dari MachineGuid milik inang dan mencari berkas penanda beridentitas serupa dalam direktori penyimpanan implan Python, sebelum akhirnya mengeksekusi berkas pustaka x64 DLL terintegrasi di memori guna berkomunikasi dengan peladen komando dan kendali (C2) beralamat "creepexplosiondarknight[.]com".
Agar terhindar dari deteksi pengawasan, rantai penyerangan turut mengonfigurasi pengecualian proteksi pada Microsoft Defender, sembari menyediakan utilitas tunneling (GOST dan Chisel) serta program akses jarak jauh legal (AnyDesk, Atera, dan Splashtop) demi mempertahankan persistensi.
Berbagai bukti mengindikasikan bahwa aktor peretasan kemungkinan besar sengaja membidik server-server yang menyimpan atau mengelola arsip cadangan data.
"Pada peladen Veeam terkait dalam jejaring yang serupa, kami pun mendapati instruksi yang identik dengan modul pencurian kredensial Veeam milik NetExec: suatu skrip PowerShell, yang tampaknya dieksekusi dari jarak jauh melewati WMI, meminta database VeeamBackup PostgreSQL menyerahkan kredensial tersimpan lalu mendekripsinya via DPAPI," ujar Semon.
"Perangkat lunak pencadangan menyimpan kredensial berharga untuk hypervisor, repositori penyimpanan, hingga akun-akun domain. Kami belum dapat memastikan total kredensial yang sukses dicuri, tetapi kolaborasi antara penguasaan Ahsay dan kueri data Veeam menandakan sang operator sengaja menyasar infrastruktur pencadangan, bukan secara kebetulan semata."
