AhsayCBS侵害の内容：それは「ただのマイナー」ではなかった

サイバーセキュリティ企業 Huntress が 2026 年 11 月 9 日に、バックアップ管理製品「AhsayCBS」の脆弱性を悪用した侵入事案の分析レポートを公開しました。
本脅威は、Ahsay 社のバックアップ管理ソフトウェア「AhsayCBS」に存在する 2 つの深刻な脆弱性（認証バイパス：CVE-2026-105133、および SYSTEM 権限での遠隔コード実行：CVE-2026-105134）を悪用して組織ネットワークへ初期潜入した高度な侵入キャンペーンです。
初期の観測では暗号資産マイナー（XMRig）を投下する単純な日和見攻撃と見られていましたが、その後の詳細調査により、攻撃者がバックアップサーバ上で多重のバックドアを設置し、持続的な遠隔操作権限の維持や認証情報窃取を試みる「本格的な侵入・潜伏型攻撃」の様相を呈していたことが判明しました。
ベンダーからパッチが提供されていますが、パッチ適用前に侵害されていた場合、脆弱性を塞ぐだけでは攻撃者が配置したインプラントやウェブシェルを排除できないため、早急な侵害痕跡（IoC）の確認が必要です。
特徴的な部分をみてみましょう。

• 多様化・多重化された JSP ウェブシェル（計 5 ファミリー）
  攻撃者は AhsayCBS の Web ディレクトリ配下に、役割や隠蔽手口の異なる 5 種類の Jakarta Server Pages（JSP）ウェブシェルを配備していました。
  • 認証キー付き軽量コマンドシェル:
    URL パラメータに正しい認証キー（12 桁の 16 進数＋特定文字など）が付与されない場合、エラーではなく「HTTP 404（Not Found）」を返却します。
    外部のスキャナーや管理者による探索・検知を欺く仕組みを備えています。
  • 自己削除機能付きシェル（status_*.jsp / st_*.jsp）:
    コマンド実行や任意ファイルの配置だけでなく、作業完了後にパラメータ指定で自身をディスク上から完全消去（自己削除）する機能を保持しており、フォレンジック調査を妨害します。
  • リクエスト署名検証機能付き API シェル（nsmind.jsp）:
    正規の Web API を模倣した構造を持ち、改ざん防止や不正アクセスを防ぐ署名検証メカニズムを取り入れた上で、ファイルのアップロード／ダウンロードおよびディレクトリ移動・実行を可能にします。
  • ステガノグラフィ型ローダー（AhsayCBS.jsp）:
    PNG 画像ファイルのピクセルデータ内部に暗号化されたペイロードを埋め込み、メモリ上で復号して実行します。
    ディスク上に不正な実行ファイルを直接置かないことで、従来のファイルスキャン型ウイルス対策を回避します。
• ホスト固有の環境に依存する Python 製 C2 インプラント
  本攻撃で確認された最も高度な検知・解析回避機構です。
  • サンドボックス・動的解析の回避:
    この Python インプラントは、感染端末のレジストリから取得した MachineGuid の SHA-256 ハッシュ値をファイル名に持つマーカーファイルが存在しない限り、動作を停止します。
  • インメモリ実行:
    条件を満たした場合にのみ、埋め込まれた 64 ビット DLL をメモリ上に展開して実行し、攻撃者の C2（コマンド＆コントロール）サーバと通信を確立します。
    解析環境（サンドボックス）へ持ち出されても動作しないよう強固に設計されています。
• 冗長化された暗号資産マイナー（XMRig）とタスクスケジューラによる永続化
  SYSTEM 権限で動作するタスクスケジューラにより、1 分ごとに再起動・監視される XMRig マイナーが導入されていました。
  プロセスの偽装（正規ブラウザ等への偽装）やタスクマネージャーからの隠蔽工作が施されており、別々のウォレットやマイニングプールを指定した複数のマイナーが並行して配備されていました。
• バックアップインフラ（Veeam 等）の認証情報窃取を狙った痕跡
  侵入先のサーバからは、ネットワークトンネリングツール、遠隔アクセスソフトウェア、Windows Defender の広範な除外設定（攻撃ディレクトリ全体を除外する設定）に加え、ペネトレーションテストツール「NetExec」の Veeam 認証情報窃取モジュールと合致するコマンド履歴が確認されました。
  ランサムウェア等の本格展開に先立ち、企業の復旧要となるバックアップ基盤の認証情報を掌握しようとした強い意図が窺えます。

本事案は、「表面上は単なる暗号資産マイニング活動に見せかけつつ、水面下では極めて高度な C2 インプラント、画像ステガノグラフィ型ローダー、認証情報窃取ツールを配備していた」という二重構造を持つ深刻な脅威です。
管理者は以下の対応を速やかに実施することが推奨されます：

• パッチ適用状況の確認
  AhsayCBS を最新修正バージョン（v10 系: 10.3.4.45 以降、v7〜v9 系: 9.15.2.70 以降）へ更新する。
• 侵害前提の調査（Hunt）
  パッチ適用日以前にインターネット公開されていたサーバについては、すでに侵入されている前提で、JSP ファイルの新規作成履歴、不審な Python スクリプトの稼働や MachineGuid のハッシュ値を模したマーカーファイルの存在、スケジュール済みタスク、Defender の除外リスト設定、外部への不審な C2/マイニング通信ログの精査を行う。
• 認証情報の刷新
  バックアップ環境や関連する管理アカウント（特に Veeam やドメイン管理者等の権限情報）が侵害されているリスクを考慮し、パスワードの変更および多要素認証（MFA）の再徹底を行う。

「マイナーを駆除し、パッチを当てたから安心」という前提そのものが、いま最も危険な盲点になりつつあるのかもしれません。

Inside an AhsayCBS Intrusion: Hidden Webshells, a CryptoMiner, and a C2 Implant
https://www.huntress.com/blog/ahsaycbs-webshells