Explotan fallos sin parche de AhsayCBS para instalar webshells y mineros de criptomonedas

Actores maliciosos están explotando dos vulnerabilidades sin parche en la plataforma de gestión de copias de seguridad AhsayCBS para instalar webshells y programas de minería de criptomonedas, según BleepingComputer.

La actividad se observó el 7 de octubre y tuvo como objetivo al menos cinco organizaciones. AhsayCBS suele ser utilizada por proveedores de servicios gestionados e integradores de sistemas. Los fallos se identifican como CVE-2026-105133, una vulnerabilidad de omisión de autenticación con un exploit público, y CVE-2026-105134, que puede permitir la inyección de comandos en el sistema operativo.

Se informó que ambas vulnerabilidades se corrigieron en AhsayCBS 10.3.2. Sin embargo, Huntress, empresa de detección y respuesta gestionadas, indicó que Ahsay 10.3.4, descrita como la versión más reciente, también está afectada. Huntress observó que los atacantes encadenaron los fallos: primero eludieron la autenticación y después ejecutaron código.

Tras obtener acceso, los atacantes realizaron reconocimiento, instalaron webshells Java Server Page (JSP) y descargaron el minero XMRig disfrazado de edge.exe. El minero persiste mediante un servicio llamado MicrosoftEdgeUpdateSvc, que ejecuta msedge.exe. Huntress identificó ese ejecutable como una copia modificada de la utilidad Non-Sucking Service Manager (NSSM).

Un archivo PowerShell llamado Taskgmr.ps1, que Huntress cree que podría haberse creado con ayuda de IA, oculta la minería al detener el servicio cuando se abre el Administrador de tareas y reiniciarlo cuando se cierra. El archivo también cierra el Administrador de tareas a las 6 p. m., hora local, o si permanece abierto durante más de una hora por la noche. En un caso, el atacante instaló el controlador vulnerable WinRing0x64.sys, probablemente para poner más recursos de hardware a disposición del minero.

BleepingComputer señaló que había contactado con AhsayCBS para solicitar comentarios, pero que no había recibido respuesta antes de la publicación. Huntress proporcionó indicadores de compromiso y cuatro reglas Sigma para ayudar a detectar la actividad.