Pakar keamanan siber telah membeberkan rincian mengenai serangan siber yang memanfaatkan sepasang celah keamanan teranyar pada sistem AhsayCBS demi menyusupkan implan berbasis Python.
Aktivitas mencurigakan ini pertama kali terdeteksi oleh pihak Huntress pada permulaan Oktober 2026. Aksi tersebut melibatkan eksploitasi rantai kerentanan yang mencakup CVE-2026-105133 serta CVE-2026-105134. Melalui kombinasi ini, pelaku mampu menerobos proses autentikasi sekaligus mengeksekusi beragam perintah arbitrer pada mesin yang menjadi target. Pembaruan keamanan untuk menambal kedua celah kritis tersebut akhirnya resmi diluncurkan oleh pihak Ahsay Backup pada pertengahan Oktober 2026.
Kedua kelemahan perangkat lunak tersebut dinilai telah dipersenjatai sebagai eksploit zero-day. Platform pemantau keamanan siber itu awalnya menyaksikan bagaimana para pelaku kejahatan menerapkan taktik serbuan kilat oportunistik demi menanam web shell serta perangkat penambang kripto XMRig ke dalam infrastruktur yang sukses dibobol.
"Kendati demikian, insiden kali ini memperlihatkan operasi penyusupan berskala jauh lebih luas dengan tingkat kesabaran tinggi; sang operator menyebarkan shell di sejumlah lokasi berbeda, mengoperasikan dua penambang terpisah, mempersiapkan piranti tunneling, serta menyematkan implan kustom, di mana seluruh tindakan tersebut dilancarkan pada server-server yang sejatinya bertugas menyimpan cadangan data," tutur peneliti Huntress, Jonathan Semon.
Secara spesifik, aktor ancaman tak dikenal itu dilaporkan meninggalkan sebanyak lima famili web shell berbasis Jakarta Server Pages (JSP, yang sebelumnya dikenal sebagai JavaServer Pages).
"Penyamaran [AhsayCBS.jsp] sebagai layanan pratinjau citra internal bahkan dirancang begitu rapi hingga menyertakan blok komentar yang menguraikan endpoint tanda air," papar pihak Huntress. "Web shell ini sepenuhnya memanfaatkan objek implisit JSP serta penamaan kelas secara lengkap, yang berarti berkas tersebut mampu terkompilasi pada wadah servlet apa pun serta kompatibel dengan Java Development Kit (JDK) versi 6 maupun edisi setelahnya."
Selain menyebarkan penambang XMRig yang menyamar sebagai peramban Microsoft Edge, rentetan serangan ini juga diketahui mengunduh piranti penambang XMRig kedua yang diberi label "kvm-agent.exe". Program jahat tambahan ini diatur untuk melakukan restart otomatis setiap menit memanfaatkan scheduled task berhak istimewa SYSTEM, serta memakai alamat dompet digital dan kolam penambangan yang berbeda.
Bagian paling menyita perhatian dari kampanye peretasan ini bertumpu pada implan backdoor Python bernama "main.py". Malware ini secara khusus diprogram agar hanya dapat beroperasi pada host tempatnya pertama kali dipasang, sehingga mampu mencegah eksekusi di dalam lingkungan sandbox analisis malware.
Metode penghindaran tersebut dilakukan lewat perhitungan hash kriptografi SHA-256 dari MachineGuid milik sistem korban. Selanjutnya, skrip mencari penanda berkas bernama serupa pada direktori yang sama, sebelum akhirnya mengeksekusi modul pustaka x64 DLL di memori untuk menghubungi server command-and-control (C2) dengan domain "creepexplosiondarknight[.]com".
Guna menghindari deteksi piranti keamanan, rangkaian serangan ini sengaja mengubah daftar pengecualian pada sistem Microsoft Defender. Pelaku juga memasang perkakas tunneling (GOST dan Chisel) serta piranti lunak remote access legal seperti AnyDesk, Atera, hingga Splashtop demi mengamankan pintu masuk permanen.
Bukti-bukti digital mengindikasikan bahwa peretas memang sengaja menargetkan server yang mengelola maupun menyimpan cadangan data korporat.
"Pada server Veeam yang saling terhubung di lingkungan serupa, kami menemukan perintah yang identik dengan modul pencurian kredensial Veeam milik NetExec: sebuah skrip PowerShell, yang tampaknya dieksekusi dari jarak jauh memanfaatkan WMI, meminta database PostgreSQL VeeamBackup menyerahkan kredensial tersimpan lalu mendekripsinya dengan DPAPI," terang Semon.
"Perangkat lunak cadangan data menyimpan kredensial penting milik hypervisor, repositori, hingga akun domain. Kami belum dapat memastikan total kredensial yang berhasil diraup, namun kombinasi pijakan Ahsay dengan perburuan kredensial Veeam menegaskan operator mengincar infrastruktur backup secara terencana, bukan sekadar kebetulan."