Киберпрестъпници използват две все още неотстранени уязвимости в платформата за управление на резервни копия AhsayCBS, за да получават неоторизиран достъп до системи, да инсталират уебшел скриптове и да внедряват софтуер за добив на криптовалута. Наблюдаваната на 7 октомври кампания е засегнала най-малко пет организации.
AhsayCBS се използва основно от доставчици на управлявани услуги (MSP) и системни интегратори. Компрометирането на подобна платформа е особено рисково, тъй като тя може да бъде част от инфраструктурата, чрез която се управляват резервни копия и услуги за множество клиенти.
Две уязвимости се комбинират за първоначален достъп
Атаките използват две уязвимости, проследявани като CVE-2026-105133 и CVE-2026-105134.
Първата позволява заобикаляне на удостоверяването и има публично достъпен експлойт. Втората може да бъде използвана за инжектиране на команди към операционната система. Според анализа на компанията Huntress нападателите ги комбинират последователно – първо заобикалят механизма за вход, а след това изпълняват команди в компрометираната система.
Особено тревожен е фактът, че проблемът не се ограничава до версията, за която първоначално е съобщено. Двете уязвимости са посочени като отстранени в AhsayCBS 10.3.2, но при последваща проверка Huntress установява, че те засягат и версия 10.3.4, определена като най-новата към момента на анализа. Това поставя под въпрос ефективността на наличните корекции и оставя администраторите без надеждна защита само чрез обновяване до тази версия.
Уебшел скриптове и XMRig осигуряват контрол и добив на криптовалута
След получаване на достъп нападателите извършват разузнаване на системата и внедряват уебшел скриптове, базирани на Java Server Pages (JSP). Тези компоненти могат да осигурят дистанционно изпълнение на команди и допълнителен контрол върху компрометирания сървър.
Следващата стъпка е инсталирането на XMRig – софтуер за добив на криптовалутата Monero, маскиран като файл с име edge.exe. За да се запази активността му след рестартиране, нападателите създават услуга MicrosoftEdgeUpdateSvc, която стартира процеса msedge.exe.
Според Huntress този изпълним файл представлява модифицирано копие на легитимната помощна програма Non-Sucking Service Manager (NSSM). Използването на познати имена и маскирането като системни компоненти могат да затруднят откриването на злонамерения процес при повърхностна проверка.
В един от наблюдаваните случаи е внедрен и уязвимият драйвер WinRing0x64.sys. Изследователите предполагат, че целта е била да се осигури достъп до допълнителни хардуерни ресурси и да се повиши ефективността на криптодобива.
Скриптът прикрива активността от администратора
Един от по-необичайните елементи на атаката е PowerShell файлът Taskgmr.ps1. Huntress предполага, че скриптът може да е създаден с помощта на ИИ, но това не е независимо потвърдено.
Неговата функция е да прикрива добива на криптовалута чрез наблюдение на Task Manager. Когато потребителят отвори диспечера на задачите, скриптът спира услугата за добив, а след затварянето му я стартира отново.
Има и допълнителни механизми за избягване на наблюдение: скриптът прекратява Task Manager в 18:00 часа местно време или ако прозорецът остане отворен повече от час през нощта.
Този подход показва, че целта не е само да се използва изчислителният ресурс на заразения сървър, а и да се намали вероятността администраторът да забележи необичайното натоварване. В същото време наличието на уебшел скриптове означава, че рискът не се изчерпва с криптодобива – нападателят може да е осигурил и други начини за продължителен достъп.
Администраторите трябва да ограничат достъпа до управленския интерфейс
Докато не бъде предоставена потвърдена корекция, Huntress препоръчва достъпът до административния интерфейс на AhsayCBS да бъде ограничен само до доверени IP адреси. Организациите трябва също да проверят системите за следи от компрометиране, включително подозрителни JSP файлове, непознати услуги, необичайни PowerShell скриптове и процеси, свързани с криптодобив.
Ако бъде потвърдено проникване, препоръката е засегнатият хост да бъде възстановен изцяло от надеждно резервно копие. Самото премахване на видимия криптомайнър не гарантира, че системата е чиста, тъй като нападателят може да е инсталирал допълнителни механизми за постоянен достъп.
Huntress е публикувала и индикатори за компрометиране (IoC), както и четири правила за Sigma, които могат да помогнат на защитните екипи да откриват свързана активност.
Към момента на публикацията BleepingComputer е потърсила AhsayCBS за коментар относно плановете за отстраняване на уязвимостите, но не е получила отговор.
Случаят е особено важен за MSP доставчиците и организациите, които управляват резервни копия на клиенти. Компрометирането на подобна платформа може да засегне не само отделен сървър, а и доверието в процесите за възстановяване след инцидент. До изясняване на проблема ограничаването на достъпа, проверката за компрометиране и готовността за възстановяване от чисто копие са критични мерки.
