پلتفرم مدیریت پشتیبان‌گیری AhsayCBS که به طور گسترده در محیط‌های سازمانی برای مدیریت عملیات بک‌آپ‌گیری استفاده می‌شود، اخیراً هدف حملات سایبری پیچیده‌ای قرار گرفته است. مهاجمان با بهره‌برداری از دو آسیب‌پذیری بحرانی و با شدت متوسط که تاکنون وصله نشده‌اند، موفق به نفوذ به سرورها، استقرار وب‌شل‌ها (Webshells) و اجرای کدهای مخرب جهت استخراج غیرقانونی رمزارز (Cryptojacking) شده‌اند.
شناسایی ماهیت آسیب‌پذیری‌ها
بر اساس گزارش‌های فنی منتشر شده، این نقض امنیتی شامل دو بردار حمله مجزا است. مهاجمان با استفاده از ترکیب آسیب‌پذیری‌های موجود در مدیریت احراز هویت و دسترسی به فایل‌ها، موفق می‌شوند بدون نیاز به اعتبارنامه‌های معتبر، کدهای مخرب خود را بر روی سرورهای میزبان AhsayCBS بارگذاری کنند. برخلاف حملات سنتی تزریق کد، این روش به طور خاص سرویس‌های مدیریت پشتیبان‌گیری را هدف قرار می‌دهد که به دلیل ماهیت دسترسی‌شان، اغلب دارای امتیازات (Privileges) بالایی در شبکه هستند.
مکانیسم حمله و استقرار وب‌شل
مهاجمان پس از ورود به سیستم، با استفاده از قابلیت‌های موجود در کنسول مدیریتی AhsayCBS، وب‌شل‌های سفارشی‌سازی شده را تزریق می‌کنند. این وب‌شل‌ها به مهاجم امکان می‌دهند تا کنترل کاملی بر دایرکتوری‌های فایل داشته باشد. پس از تثبیت جایگاه (Persistence)، مهاجمان اقدام به دانلود اسکریپت‌های استخراج رمزارز (Monero miner) می‌کنند که باعث مصرف بیش از حد منابع پردازشی CPU و کاهش شدید عملکرد زیرساخت‌های پشتیبان‌گیری می‌شود. این عملیات نه تنها امنیت داده‌های بک‌آپ را به خطر می‌اندازد، بلکه پایداری کل شبکه سازمان را نیز مختل می‌کند.
تحلیل فنی و ابعاد مخاطره
- نام محصول: AhsayCBS (Backup Management System)
- نوع آسیب‌پذیری: اجرای کد از راه دور (RCE) و دسترسی غیرمجاز
- هدف مخرب: استقرار وب‌شل (Webshell) و نصب ماینر رمزارز
- وضعیت وصله: در حال حاضر وصله رسمی ارائه نشده است (اردیبهشت ۱۴۰۳)
- توصیه امنیتی: محدود کردن دسترسی به اینترفیس مدیریتی از طریق VPN یا فایروال‌های لایه شبکه
راهکارهای مقابله و کاهش ریسک (Mitigation)
از آنجایی که شرکت سازنده هنوز وصله امنیتی نهایی را ارائه نکرده است، مدیران سیستم باید بلافاصله اقدامات پیشگیرانه زیر را انجام دهند:
- ایزوله‌سازی شبکه: دسترسی به رابط وب (Web Interface) پلتفرم AhsayCBS را از طریق اینترنت عمومی به شدت مسدود کنید. تنها از طریق VPNهای امن یا لیست سفید IP (IP Whitelisting) اجازه دسترسی بدهید.
- پایش لاگ‌ها: فایل‌های لاگ سرور را برای شناسایی هرگونه درخواست مشکوک به دایرکتوری‌های غیرمعمول و اجرای پردازش‌های ناشناخته بررسی کنید.
- مانیتورینگ منابع: از ابزارهای مانیتورینگ برای شناسایی مصرف غیرعادی CPU استفاده کنید که ممکن است نشان‌دهنده فعالیت یک ماینر پنهان در پس‌زمینه سیستم باشد.
- بررسی فایل‌های سیستم: به طور منظم دایرکتوری‌های وب‌سرور را برای یافتن فایل‌های مشکوک با پسوندهای .jsp یا .php که توسط کاربر سیستم ایجاد نشده‌اند، پایش کنید.
در نهایت، امنیت زنجیره تأمین نرم‌افزارهای مدیریتی مانند AhsayCBS نیازمند رویکرد ‘امنیت در عمق’ (Defense in Depth) است تا در صورت بروز آسیب‌پذیری‌های Zero-day، مهاجمان نتوانند به سادگی به لایه‌های حساس شبکه نفوذ کنند.
