Sikkerhedssårbarheder i AhsayCBS udnyttes til at installere kryptominere

Angribere udnytter to sikkerhedssårbarheder i AhsayCBS til at kompromittere servere til administration af sikkerhedskopiering, installere webshells og køre kryptominere. Sikkerhedsforskere observerede aktiviteten den 7. oktober, hvor mindst fem organisationer var mål for angrebene.

Selvom sårbarhedsregistrene angiver, at begge problemer blev rettet i version 10.3.2, opdagede Huntress, at de også påvirker version 10.3.4. Dette var den nyeste version på tidspunktet for virksomhedens opdatering den 9. oktober.

Resultaterne betyder, at administratorer står over for aktive angreb uden en bekræftet løsning i den rapporterede aktuelle version.

Angribere kombinerer omgåelse af autentificering med kommandoinjektion

AhsayCBS er en platform til administration af sikkerhedskopiering, som ofte bruges af leverandører af administrerede IT-tjenester og systemintegratorer.

Angrebene kombinerer CVE-2026-105133, en sårbarhed, der gør det muligt at omgå autentificering, med CVE-2026-105134, en fejl, der muliggør kommandoinjektion i operativsystemet. De to problemer har henholdsvis kritisk og middelhøj alvorlighedsgrad.

Der findes allerede en offentligt tilgængelig exploit til sårbarheden, der gør det muligt at omgå autentificering. I de observerede hændelser brugte angriberne først denne svaghed til at omgå autentificeringen.

Derefter udnyttede de sårbarheden for kommandoinjektion til at udføre kode på den berørte server. Tilsammen gav sikkerhedssårbarhederne i AhsayCBS en vej fra uautentificeret adgang til ondsindet aktivitet på værtssystemet.

Webshells giver adgang, mens XMRig udvinder kryptovaluta

Efter at have fået adgang undersøgte angriberen de kompromitterede systemer og installerede webshells baseret på Java Server Pages. Disse skadelige filer gør det muligt at udføre kommandoer på afstand.

Huntress observerede også, at angriberen downloadede kryptomineren XMRig under filnavnet edge.exe.

For at opretholde kryptoudvindingen oprettede angriberen en tjeneste med navnet MicrosoftEdgeUpdateSvc. På trods af det legitime navn understøttede tjenesten den skadelige installation.

Tjenesten kørte msedge.exe, som forskerne identificerede som en modificeret kopi af det legitime værktøj Non-Sucking Service Manager. Angriberen brugte dermed velkendte softwarenavne til at skjule komponenter i kryptoudvindingsopsætningen.

PowerShell-script skjuler kryptoudvinding fra Jobliste

Operationen omfattede også et PowerShell-script med navnet Taskgmr.ps1. Huntress mener, at angriberen muligvis har brugt AI-assistance til at oprette det, selvom denne vurdering endnu ikke er bekræftet.

Scriptet stopper kryptoudvindingstjenesten, hver gang Jobliste åbnes. Når Jobliste lukkes, genstarter det tjenesten.

Som følge heraf kan en person, der undersøger ressourceforbruget, overse kryptominerens aktivitet, mens overvågningsvinduet er åbent.

Derudover lukker scriptet Jobliste klokken 18.00 lokal tid. Det afslutter også programmet, hvis det forbliver åbent i mere end en time i løbet af natten.

I én hændelse installerede angriberen den sårbare driver WinRing0x64.sys. Forskerne mener, at formålet sandsynligvis var at give kryptomineren adgang til yderligere hardwareressourcer.

Forskere anbefaler at begrænse adgangen til administrationsgrænsefladen

Fordi Huntress opdagede, at version 10.3.4 er sårbar, kan administratorer ikke udelukkende stole på tidligere oplysninger om sikkerhedsrettelser, når de vurderer eksponeringen.

Forskerne anbefaler at begrænse adgangen til AhsayCBS’ administrationsgrænseflade til betroede IP-adresser. De anbefaler også at undersøge berørte værtssystemer for tegn på kompromittering.

Hvis efterforskere bekræfter et indbrud, anbefaler Huntress at gendanne hele værtssystemet fra en sikker sikkerhedskopi. Hvis man kun fjerner den synlige kryptominer, kan andre bagdøre, som angriberen har installeret, forblive på systemet.

For at understøtte undersøgelser har virksomheden offentliggjort indikatorer på kompromittering og fire Sigma-regler til detektion. Disse ressourcer kan hjælpe sikkerhedsansvarlige med at identificere aktivitet, der er forbundet med de observerede angreb.