A mentőszervert bányagéppé teszik – az Ahsay korábbi javítása sem elég

Az Ahsay 2026. október 13-i állapotfrissítésében közölte, hogy az AhsayCBS korábbi, 10.3.4.0 és 9.15.2.59 jelű javítása nem kezelte teljesen a CVE-2026-105133 és CVE-2026-105134 sérülékenységet. A 10-es ághoz a 10.3.4.45, a 9-eshez a 9.15.2.70 hotfix szükséges; a már kompromittált mentőszerverek felismeréséhez és helyreállításához külön útmutató jelent meg. A frissítés lezárja a sérülékenységeket, de a korábban megszerzett támadói hozzáférést külön kell felderíteni.

A Huntress incidenselemzésében október 7-től észlelt kihasználást, október 8-ig öt célba vett szervezetet, valamint JSP-webshellt és Microsoft Edge-folyamatnak álcázott XMRig kriptobányászt írt le. A megfigyelt támadásokban a hitelesítés megkerülését parancsvégrehajtás követte az AhsayCBS mentéskezelő kiszolgálóján. Az üzemeltetőnek ezért egyszerre kell tisztáznia a telepített buildet és azt, hogy maradt-e a gépen webshell, illetéktelen fiók vagy más tartós hozzáférés.

Melyik build zárja le a sérülékenységeket?

Az AhsayCBS esetében a négytagú verziószám utolsó eleme is számít. A korai frissítések telepítése után is nyitva maradhatott a belépési pont, ezért a „frissített” állapot önmagában nem elég a kitettség megítéléséhez. A webes konzol System Settings > License > Update License részében a Product Version mező mutatja a tényleges buildet.

• 10-es ág: a szükséges hotfix 10.3.4.45. A 10.3.4.0 korábbi javítás, amellyel a két hiba nem szűnt meg teljesen.
• 9-es ág: a szükséges hotfix 9.15.2.70. A 9.15.2.59 ugyancsak hiányos javítás volt.
• 7-es és 8-as ág: előbb a 9.15.0.0 verzióra kell áttérni, majd a 9.15.2.70 hotfixet alkalmazni.

A hotfixek az Ahsay partnerportálján, érvényes partnerfiókkal érhetők el; telepítésük után a kiszolgálót újra kell indítani. Ha a csomag azonnal nem telepíthető, a kezelőfelület elérésének megbízható adminisztrációs hálózatokra vagy VPN-re korlátozása mérsékli a külső kitettséget. Ez átmeneti intézkedés: a javítást és a korábbi behatolás vizsgálatát továbbra is el kell végezni.

Hogyan jutnak el a webshelltől a bányászig?

A CVE-2026-105133 hibát a megfigyelt támadási láncban a hitelesítés megkerülésére, a CVE-2026-105134-et pedig az AhsayCBS Replication Receiver összetevőjén keresztüli parancsvégrehajtásra használták. Rosszindulatú replikációs fogadó beállítása után JSP-webshell került az alkalmazás által kiszolgált könyvtárba. Egy ilyen szkript későbbi webes kéréseken keresztül is lehetővé teheti parancsok futtatását, ezért az új hotfix önmagában nem távolítja el a behatolás következményeit.

A megfigyelt bányászprogram edge.exe néven került az ideiglenes mappába. Egy MicrosoftEdgeUpdateSvc nevű Windows-szolgáltatás segítette a futtatását és az újraindítását, miközben a neve a valódi Edge-frissítésre hasonlított. A Taskgmr.ps1 PowerShell-szkript a Feladatkezelő megnyitásakor leállította, bezárásakor újraindította a szolgáltatást; a pillanatnyilag normális processzorterhelés így nem zárja ki a fertőzést. Az XMRig jelenléte csak az egyik észlelhető következmény: a webshell önálló hozzáférési pont maradhat.

Mit mutat a kompromittáltsági ellenőrzés?

Az AhsayCBS fájlrendszerében és beállításaiban több konkrét jel kereshető. Bármelyikük előfordulásakor a kiszolgálót kompromittáltnak kell tekinteni, és a frissítés mellé helyreállítási eljárás szükséges.

• Szokatlan könyvtárak jelennek meg a meghajtók gyökerében, például ahsay_ts, ahsay_t8, ahsay_t9, srv, user vagy opt néven; több mappa közel azonos időben jöhetett létre.
• Ismeretlen, véletlenszerű nevű .jsp fájlok vagy kisbetűkből és számokból álló könyvtárak találhatók a %CBS%\webapps alatt.
• Engedély nélkül létrehozott RPS-fogadók, illetve új, Admin jogosultságú AhsayCBS-fiókok szerepelnek a rendszerben.

A Bitdefender október 15-i műszaki elemzése három incidens alapján arra figyelmeztet, hogy a fájlnevek és az alkalmazott eszközök támadásonként eltértek. Ezért az AhsayCBS-szolgáltatásból induló váratlan parancssorokat, a C:\Users\Public mappába került .cmd fájlokat, a kéretlen OpenSSH-telepítést, az új Windows-szolgáltatásokat és a jogosultságok módosulását is vizsgálni kell. A mentési célokhoz tárolt vagy a kiszolgálóról elérhető hitelesítő adatok szintén érintettek lehetnek, ha a támadó már hozzáfért a géphez.

Mikor kell újraépíteni a mentőszervert?

Ha kompromittáltsági jel kerül elő, a teljes újraépítés indokolt. A webshell, a rosszindulatú szolgáltatás vagy az illetéktelen fiók a hotfix után is megmaradhat, ezért a helyreállítás nem állhat meg a szoftver frissítésénél. A kiszolgáló és a visszatöltendő konfiguráció állapotát külön kell megítélni: a behatolás utáni konfiguráció a támadói változtatásokat is visszahozhatja.

1. Telepítsék újra a mentőszerver Windows vagy Linux operációs rendszerét.
2. Telepítsék a megfelelő AhsayCBS-alapverziót, majd a hozzá tartozó teljes hotfixet, végül indítsák újra a szervert.
3. Az Auto Save állományból olyan konfigurációt válasszanak, amely megelőzi a behatolást. A gyanús fájlok vagy mappák létrehozási idejénél legalább egy nappal korábbi mentés az ajánlott kiindulópont.

A visszaállításhoz választott időbélyeget az első ismert behatolási jellel kell összevetni, nem csupán a bányászprogram megjelenésével. Ha a kompromittált gépről adminisztrátori, szolgáltatás- vagy mentési célhoz használt hitelesítő adatok voltak elérhetők, az érintett hozzáféréseket cserélni kell. Az újjáépített kiszolgáló csak a tiszta konfiguráció és a kapcsolódó jogosultságok ellenőrzése után kaphat ismét hozzáférést a mentési célokhoz.

Olvassa el ezt is:

• A PeopleSoft tűzfala megkerülhető – a javítás nem váltható ki szabállyal
• Deepfake jelölése: a szatíra sem mentesít teljesen az EU-ban
• Grammarly vagy LanguageTool magyarul: csak az egyik ígér nyelvtani javítást