Atacantes explotan fallos de AhsayCBS para minar criptomonedas en servidores de respaldo

Atacantes aprovecharon vulnerabilidades de Ahsay Cloud Backup Suite (AhsayCBS) para instalar malware de minería de criptomonedas en servidores de respaldo empresariales, según los investigadores de seguridad de Huntress. El malware incluía XMRig, un minero de código abierto utilizado para minar Monero.

Huntress indicó que dos vulnerabilidades de AhsayCBS se hicieron públicas el 4 de octubre de 2026. CVE-2026-105113 afecta a la función checkSysPwd y puede provocar una autenticación incorrecta. CVE-2026-105134 afecta al componente Replication Receiver y podría permitir la ejecución remota de código sin autenticación con privilegios NT AUTHORITY/SYSTEM en el servidor.

Los investigadores dijeron que los atacantes empezaron a explotar los fallos tres días después de su divulgación. Usaron una evasión de la autenticación para configurar un receptor malicioso y después colocaron una webshell Java Server Page (JSP) en el directorio de la aplicación. Las webshells instalaron otros ejecutables, incluido XMRig. Los atacantes disfrazaron el minero como un proceso de Microsoft Edge y un servicio de actualización falso de Edge. Según se informó, un script detenía el minero al abrirse el Administrador de tareas y cerraba el Administrador de tareas después de una hora.

Según Huntress, hasta el 8 de octubre ya habían sido atacadas al menos cinco organizaciones. La fuente señala que las versiones de AhsayCBS hasta la 10.3.4 están afectadas y que las vulnerabilidades se han mitigado. Huntress recomienda aplicar el parche y limitar el acceso a la interfaz de administración a direcciones IP de confianza o exigir una VPN. También recomienda volver a crear la imagen de los servidores afectados desde una copia de seguridad de confianza si se detectan indicadores de compromiso.