La firma de seguridad Huntress documentó una intrusión que explotó dos vulnerabilidades en AhsayCBS, una plataforma de respaldo de Ahsay Backup. Los atacantes instalaron puertas traseras, mineros de criptomonedas y herramientas de acceso remoto en servidores dedicados a guardar copias de seguridad. El objetivo parece deliberado: la infraestructura de respaldo concentra credenciales y datos críticos de toda la organización.
La actividad se observó a inicios de octubre de 2026. Los atacantes encadenaron las fallas CVE-2026-105133 y CVE-2026-105134 para saltarse la autenticación y ejecutar comandos arbitrarios en los equipos afectados. Ambas se explotaron como zero-day, es decir, antes de que existiera un parche. Ahsay Backup publicó las correcciones a mediados de octubre de 2026. El reporte no detalla las versiones afectadas ni las corregidas.
Tras el acceso inicial, el atacante dejó cinco familias de web shells en JSP. Un web shell es un archivo malicioso alojado en el servidor web que permite controlarlo de forma remota. JSP es la tecnología Java con la que se generan páginas web dinámicas. Una variante, AhsayCBS.jsp, se hacía pasar por un servicio interno de vista previa de imágenes. Ocultaba código cifrado dentro de los píxeles de archivos PNG y lo ejecutaba directamente en memoria. Otras variantes permitían ejecutar comandos, escribir archivos en cualquier ruta accesible y autoeliminarse para borrar rastros. El atacante también instaló dos mineros XMRig, un programa que usa los recursos del servidor para generar criptomonedas. Uno se disfrazaba de Microsoft Edge y otro, llamado kvm-agent.exe, se reiniciaba cada minuto mediante una tarea programada con privilegios SYSTEM.
El componente más sofisticado es una puerta trasera en Python (main.py) diseñada para ejecutarse solo en el equipo comprometido. Calcula el hash SHA-256 del MachineGuid, el identificador único que Windows asigna a cada máquina. Luego verifica que exista un archivo marcador con ese mismo nombre en su carpeta. Si la comprobación falla, no se ejecuta, lo que frustra el análisis en entornos aislados de prueba (sandbox) o en equipos de investigadores. Si se cumple, carga en memoria una DLL de 64 bits que se comunica con el servidor de comando y control creepexplosiondarknight[.]com. Para pasar desapercibido, el atacante configuró exclusiones en Microsoft Defender. Además, desplegó herramientas de túnel (GOST y Chisel) y software legítimo de acceso remoto como AnyDesk, Atera y Splashtop.
En un servidor Veeam del mismo entorno, Huntress detectó un comando compatible con el módulo de robo de credenciales de NetExec. Un script de PowerShell, lanzado de forma remota mediante WMI (la interfaz de administración de Windows), consultó la base de datos PostgreSQL de Veeam. Después descifró las credenciales almacenadas con DPAPI, el mecanismo de protección de datos de Windows. Los sistemas de respaldo guardan credenciales de hipervisores, repositorios y cuentas de dominio. Las acciones recomendadas son claras: aplicar de inmediato los parches de Ahsay Backup y retirar la consola de AhsayCBS de la exposición directa a Internet. También conviene buscar archivos JSP desconocidos en el servidor web y revisar tareas programadas y exclusiones de Defender. Hay que verificar si existen AnyDesk, Atera o Splashtop no autorizados y bloquear el dominio de comando y control. Si hubo indicios de compromiso, rote todas las credenciales guardadas en las plataformas de respaldo, incluida Veeam.
Qué significa para tu empresa: este caso confirma que los atacantes ya apuntan primero a los respaldos, porque son la última línea de recuperación. Esta semana revise qué consolas de respaldo están expuestas a Internet, qué credenciales privilegiadas almacenan y quién puede administrarlas. En nuestra experiencia, la defensa decisiva es contar con respaldo inmutable: copias que nadie puede alterar ni borrar, aunque el servidor de respaldo quede comprometido. Compruebe además que esas copias estén aisladas de las credenciales del dominio y que su restauración se haya probado recientemente.
Fuente original: The Hacker News — ver artículo →