BleepingComputer'a göre tehdit aktörleri, AhsayCBS yedekleme yönetim platformundaki yamalanmamış iki güvenlik açığından yararlanarak webshell ve kripto para madenciliği yazılımı kuruyor.
Faaliyet 7 Ekim'de gözlemlendi ve en az beş kuruluşu hedef aldı. AhsayCBS'yi genellikle yönetilen hizmet sağlayıcıları ve sistem entegratörleri kullanıyor. Açıklar, herkese açık bir istismarı bulunan kimlik doğrulama atlatma açığı CVE-2026-105133 ve işletim sistemi komut enjeksiyonuna olanak tanıyabilen CVE-2026-105134 olarak izleniyor.
Her iki açığın da AhsayCBS 10.3.2 sürümünde giderildiği bildirilmişti. Ancak yönetilen tespit ve müdahale şirketi Huntress, en son sürüm olarak tanımlanan Ahsay 10.3.4'ün de etkilendiğini söyledi. Huntress, saldırganların önce kimlik doğrulamayı atlatıp ardından kod çalıştırarak açıkları zincirleme kullandığını gözlemledi.
Erişim sağladıktan sonra saldırganlar keşif yaptı, Java Server Page (JSP) webshell'leri kurdu ve edge.exe kılığına sokulmuş XMRig madencisini indirdi. Madenci, msedge.exe'yi çalıştıran MicrosoftEdgeUpdateSvc adlı bir hizmet üzerinden kalıcılık sağlıyor. Huntress, bu yürütülebilir dosyanın Non-Sucking Service Manager (NSSM) aracının değiştirilmiş bir kopyası olduğunu belirledi.
Huntress'in yapay zekâ desteğiyle hazırlanmış olabileceğini düşündüğü Taskgmr.ps1 adlı PowerShell dosyası, Görev Yöneticisi açıldığında hizmeti durdurup kapandığında yeniden başlatarak madenciliği gizliyor. Dosya ayrıca Görev Yöneticisi'ni yerel saatle akşam 6'da veya gece boyunca bir saatten uzun süre açık kalırsa kapatıyor. Bir vakada saldırgan, madenciye muhtemelen daha fazla donanım kaynağı sağlamak amacıyla savunmasız WinRing0x64.sys sürücüsünü de kurdu.
BleepingComputer, açıklama istemek için AhsayCBS ile iletişime geçtiğini ancak yayın saatine kadar yanıt alamadığını bildirdi. Huntress, faaliyetin tespit edilmesine yardımcı olmak için ihlal göstergeleri ve dört Sigma kuralı paylaştı.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.