Huntress 9 ноября опубликовала разбор взлома трёх серверов AhsayCBS — системы управления резервным копированием — в одной организации. На машинах, скомпрометированных 8–11 октября, обнаружились не только майнеры, но и несколько скрытых способов удалённого управления. Это продолжение расследования октябрьской атаки, а не сообщение о новом проникновении.

Один из найденных загрузчиков маскировался под сервис просмотра изображений. Он умел извлекать зашифрованный код из пикселей загруженной PNG-картинки и запускать его в памяти; ответы также упаковывались в изображения. В журнале запросов такой обмен выглядел как работа с картинками. Исследователи разобрали загрузчик, но не получили передаваемый ему код: какие именно действия через него выполнял атакующий, неизвестно.

Другой инструмент позволял запускать команды и передавать файлы частями, проверяя подпись каждого запроса. Это готовый канал для вывода резервных копий, однако Huntress не обнаружила журналов его использования для скачивания и не подтверждает кражу данных. На связанных серверах также нашли средства туннелирования и программу, привязанную к идентификатору конкретной машины.

Исправления Ahsay закрывают первоначальный путь проникновения; Huntress проверила это на версии 10.3.4.45. Но обновление не удаляет уже оставленные атакующим файлы и способы закрепления. Поэтому устранение уязвимости и очистка ранее взломанного сервера — разные результаты.