Säkerhetsbrister i AhsayCBS utnyttjas för att installera kryptogrävare

Angripare utnyttjar två säkerhetsbrister i AhsayCBS för att kompromettera servrar för säkerhetskopieringshantering, installera webbskal och köra kryptogrävare. Säkerhetsforskare observerade aktiviteten den 7 oktober, då minst fem organisationer var måltavlor.

Även om sårbarhetsregistren anger att båda problemen åtgärdades i version 10.3.2, upptäckte Huntress att de även påverkar version 10.3.4. Detta var den senaste versionen vid tidpunkten för företagets uppdatering den 9 oktober.

Resultaten innebär att administratörer står inför aktiva attacker utan någon bekräftad lösning i den rapporterade aktuella versionen.

Angripare kombinerar kringgående av autentisering med kommandoinjektion

AhsayCBS är en plattform för hantering av säkerhetskopiering som ofta används av leverantörer av hanterade IT-tjänster och systemintegratörer.

Attackerna kombinerar CVE-2026-105133, en sårbarhet som gör det möjligt att kringgå autentisering, med CVE-2026-105134, en brist som möjliggör kommandoinjektion i operativsystemet. De två problemen har klassificerats med kritisk respektive medelhög allvarlighetsgrad.

En offentlig exploit finns redan för sårbarheten som gör det möjligt att kringgå autentisering. Vid de observerade incidenterna använde angriparna först denna svaghet för att ta sig förbi autentiseringen.

Därefter utnyttjade de sårbarheten för kommandoinjektion för att köra kod på den drabbade servern. Tillsammans gav säkerhetsbristerna i AhsayCBS en väg från oautentiserad åtkomst till skadlig aktivitet på värdsystemet.

Webbskal ger åtkomst medan XMRig utvinner kryptovaluta

Efter att ha fått åtkomst undersökte angriparen de komprometterade systemen och installerade webbskal baserade på Java Server Pages. Dessa skadliga filer gör det möjligt att utföra kommandon på distans.

Huntress observerade också hur angriparen laddade ner kryptogrävaren XMRig under filnamnet edge.exe.

För att upprätthålla kryptoutvinningen skapade angriparen en tjänst med namnet MicrosoftEdgeUpdateSvc. Trots det legitima namnet användes tjänsten för den skadliga installationen.

Tjänsten körde msedge.exe, som forskarna identifierade som en modifierad kopia av det legitima verktyget Non-Sucking Service Manager. Angriparen använde därmed välbekanta programvarunamn för att dölja delar av kryptoutvinningssystemet.

PowerShell-skript döljer kryptoutvinning från Aktivitetshanteraren

Verksamheten omfattade också ett PowerShell-skript med namnet Taskgmr.ps1. Huntress tror att angriparen kan ha använt AI-assistans för att skapa det, även om denna bedömning ännu inte har bekräftats.

Skriptet stoppar kryptoutvinningstjänsten varje gång Aktivitetshanteraren öppnas. När Aktivitetshanteraren stängs startar tjänsten igen.

Därför kan en person som granskar resursanvändningen missa kryptogrävarens aktivitet medan övervakningsfönstret är öppet.

Dessutom stänger skriptet Aktivitetshanteraren klockan 18.00 lokal tid. Det avslutar också programmet om det förblir öppet i mer än en timme under natten.

Vid en incident installerade angriparen den sårbara drivrutinen WinRing0x64.sys. Forskarna tror att syftet sannolikt var att ge kryptogrävaren tillgång till ytterligare hårdvaruresurser.

Forskare rekommenderar att begränsa åtkomsten till hanteringsgränssnittet

Eftersom Huntress upptäckte att version 10.3.4 är sårbar kan administratörer inte enbart förlita sig på tidigare information om säkerhetskorrigeringar när de bedömer exponeringen.

Forskarna rekommenderar att åtkomsten till AhsayCBS hanteringsgränssnitt begränsas till betrodda IP-adresser. De råder också administratörer att undersöka berörda värdsystem efter tecken på intrång.

Om utredare bekräftar ett intrång rekommenderar Huntress att värdsystemet återställs helt från en säker säkerhetskopia. Att enbart ta bort den synliga kryptogrävaren kan innebära att andra bakdörrar som angriparen installerat lämnas kvar.

För att stödja utredningar har företaget publicerat indikatorer på kompromettering och fyra Sigma-regler för upptäckt. Dessa resurser kan hjälpa säkerhetsansvariga att identifiera aktivitet som är kopplad till de observerade attackerna.