CVE 2건 연계해 인증 우회·명령 실행…2026년 10월 중순 패치 공개
핵심 요약
- 헌트리스가 AhsayCBS를 악용한 백업 서버 침입을 포착했다. 공격자는 특정 호스트에서만 작동하는 Python 백도어와 채굴기를 설치했으며, 관련 Veeam 서버에서는 자격 증명 탈취 정황도 드러났다.
백업 소프트웨어 AhsayCBS의 취약점 2건을 연계해 서버에 침입하고, 분석 환경을 회피하는 Python 백도어를 설치한 공격이 드러났다. 보안업체 헌트리스(Huntress)는 공격자가 백업 인프라를 의도적으로 겨냥했을 가능성을 제기했다.
헌트리스가 2026년 10월 초 관측한 공격은 CVE-2026-105133과 CVE-2026-105134를 연결해 인증을 우회하고 임의 명령을 실행했다. 아세이 백업(Ahsay Backup)은 같은 달 중순 두 취약점의 패치를 공개했다. 헌트리스는 이들 취약점이 제로데이로 악용된 것으로 평가했다. 초기에는 웹 셸과 가상자산 채굴기 XMRig를 신속히 심는 공격이 관측됐지만, 이번 사례에서는 장기 침투를 위한 여러 도구가 발견됐다.
가장 눈에 띄는 도구는 설치된 호스트에서만 실행하도록 설계한 Python 백도어 main.py다. 호스트의 MachineGuid로 SHA-256 해시를 계산한 뒤, 백도어와 같은 디렉터리에서 해시와 이름이 같은 표식 파일을 찾는다. 이 방식으로 샌드박스나 분석가의 컴퓨터에서 실행되는 것을 막고, 내장된 x64 DLL을 메모리에서 실행해 명령·제어(C2) 서버 creepexplosiondarknight[.]com에 접속한다.
헌트리스의 조너선 시먼(Jonathan Semon) 연구원은 “그러나 이번 사건은 훨씬 큰 규모로, 더 끈기 있게 진행된 침입을 보여준다. 공격자는 여러 곳에 셸을 심고 서로 다른 채굴기 두 개를 실행했으며, 터널링 도구를 준비하고 맞춤형 임플란트를 설치했다. 이 모든 일이 백업을 보관하는 서버에서 벌어졌다”고 말했다.
공격자는 JSP(Jakarta Server Pages, 이전 명칭 JavaServer Pages) 웹 셸 5개 계열을 남겼다. nsmind.jsp는 명령 실행과 파일 전송을 지원하는 서명된 API이며, AhsayCBS.jsp는 PNG 이미지의 픽셀 데이터에 암호화된 페이로드를 숨겨 메모리에서 실행하는 로더다. 하드코딩된 키가 일치하면 cmd.exe로 명령을 실행하는 셸과, 여기에 Base64로 디코딩한 바이트를 서비스 계정이 접근할 수 있는 경로에 쓰는 기능을 더한 셸도 발견됐다. status_ .jsp나 st_ .jsp 계열은 명령 실행, 입력 경로의 재귀적 삭제, 자기 삭제 기능을 갖췄다. 내부 이미지 미리보기 서비스로 위장한 AhsayCBS.jsp는 JSP 암시적 객체와 정규화된 클래스명만 사용해 모든 서블릿 컨테이너와 JDK 6 이상에서 컴파일되도록 만들었다.
공격자는 마이크로소프트(Microsoft)의 Edge로 위장한 XMRig 외에 다른 지갑과 채굴 풀을 사용하는 두 번째 채굴기 kvm-agent.exe도 설치했다. 두 번째 채굴기는 SYSTEM 권한의 예약 작업을 통해 매분 재시작한다. 공격 과정에서는 Microsoft Defender 검사 제외 항목을 설정하고, 터널링 도구 GOST·Chisel과 정상 원격 접속 소프트웨어 AnyDesk·Atera·Splashtop을 배치해 지속적인 접근을 확보했다.
같은 환경의 관련 Veeam 서버에서는 자격 증명 탈취 정황도 포착됐다. 시먼 연구원은 “같은 환경의 관련 Veeam 서버에서도 NetExec의 Veeam 자격 증명 탈취 모듈과 일치하는 명령을 확인했다. WMI를 통해 원격으로 실행된 것으로 보이는 PowerShell 스크립트가 VeeamBackup PostgreSQL 데이터베이스에서 저장된 자격 증명을 조회하고 DPAPI로 복호화했다”고 말했다.
그는 “백업 소프트웨어는 하이퍼바이저, 저장소, 도메인 계정의 자격 증명을 보관한다. 그 자격 증명 중 얼마나 많이 가져갔는지는 알 수 없지만, Ahsay를 통한 침투 거점 확보와 Veeam 자격 증명 조회가 함께 나타났다는 점은 공격자가 우연이 아니라 의도적으로 백업 인프라에 관심을 뒀음을 시사했다”고 말했다.
