Opatchade AhsayCBS-sårbarheter utnyttjas för att installera webbshell och kryptominerare

Hotaktörer utnyttjar två opatchade sårbarheter i säkerhetskopieringsplattformen AhsayCBS för att installera webbshell och programvara för kryptoutvinning, enligt BleepingComputer.

Aktiviteten observerades den 7 oktober och riktades mot minst fem organisationer. AhsayCBS används vanligtvis av leverantörer av hanterade tjänster och systemintegratörer. Sårbarheterna spåras som CVE-2026-105133, en autentiseringsbypass med en offentlig exploit, och CVE-2026-105134, som kan möjliggöra kommandoinjektion i operativsystemet.

Båda sårbarheterna uppgavs vara åtgärdade i AhsayCBS 10.3.2. Företaget Huntress, som arbetar med hanterad detektion och incidenthantering, sade dock att även Ahsay 10.3.4, som beskrivs som den senaste versionen, är sårbar. Huntress observerade hur angriparna kedjade ihop bristerna: först kringgick de autentiseringen och därefter körde de kod.

Efter att ha fått åtkomst utförde angriparna spaning, installerade Java Server Page-webbshell (JSP) och laddade ned XMRig-mineraren, maskerad som edge.exe. Mineraren ligger kvar via tjänsten MicrosoftEdgeUpdateSvc, som kör msedge.exe. Huntress identifierade den körbara filen som en modifierad kopia av verktyget Non-Sucking Service Manager (NSSM).

En PowerShell-fil med namnet Taskgmr.ps1, som Huntress tror kan ha skapats med hjälp av AI, döljer utvinningen genom att stoppa tjänsten när Aktivitetshanteraren öppnas och starta den igen när den stängs. Skriptet avslutar också Aktivitetshanteraren klockan 6 på kvällen lokal tid eller om den är öppen i mer än en timme under natten. I ett fall installerade angriparen den sårbara drivrutinen WinRing0x64.sys, troligen för att göra fler maskinvaruresurser tillgängliga för mineraren.

BleepingComputer uppgav att de hade kontaktat AhsayCBS för en kommentar men inte fått något svar före publiceringen. Huntress tillhandahöll indikatorer på intrång och fyra Sigma-regler för att hjälpa till att upptäcka aktiviteten.