Sicherheitslücken in AhsayCBS werden zur Installation von Krypto-Minern ausgenutzt

Angreifer nutzen zwei Sicherheitslücken in AhsayCBS aus, um Backup-Management-Server zu kompromittieren, Webshells zu installieren und Krypto-Miner auszuführen. Sicherheitsforscher beobachteten die Aktivitäten am 7. Oktober, wobei mindestens fünf Organisationen angegriffen wurden.

Obwohl die Schwachstellendatenbanken angeben, dass beide Probleme in Version 10.3.2 behoben wurden, stellte Huntress fest, dass sie auch Version 10.3.4 betreffen. Dies war zum Zeitpunkt der Aktualisierung des Unternehmens am 9. Oktober die neueste Version.

Die Erkenntnisse bedeuten, dass Administratoren mit aktiven Angriffen konfrontiert sind, ohne dass für die gemeldete aktuelle Version eine bestätigte Fehlerbehebung vorliegt.

Angreifer kombinieren Authentifizierungsumgehung mit Befehlsinjektion

AhsayCBS ist eine Plattform zur Verwaltung von Datensicherungen, die häufig von Managed-Service-Providern und Systemintegratoren eingesetzt wird.

Die Angriffe kombinieren CVE-2026-105133, eine Schwachstelle zur Umgehung der Authentifizierung, mit CVE-2026-105134, einer Sicherheitslücke, die eine Befehlsinjektion auf Betriebssystemebene ermöglicht. Die beiden Schwachstellen werden als kritisch beziehungsweise mittelschwer eingestuft.

Für die Schwachstelle zur Umgehung der Authentifizierung existiert bereits ein öffentlich verfügbarer Exploit. Bei den beobachteten Vorfällen nutzten die Angreifer zunächst diese Schwachstelle, um die Authentifizierung zu umgehen.

Anschließend nutzten sie die Schwachstelle zur Befehlsinjektion aus, um Code auf dem betroffenen Server auszuführen. Zusammen ermöglichten die Sicherheitslücken in AhsayCBS den Übergang von einem nicht authentifizierten Zugriff zu bösartigen Aktivitäten auf dem Hostsystem.

Webshells ermöglichen Zugriff, während XMRig Kryptowährungen schürft

Nachdem der Angreifer Zugriff erlangt hatte, untersuchte er die kompromittierten Systeme und installierte Webshells auf Basis von Java Server Pages. Diese schädlichen Dateien ermöglichen die Ausführung von Befehlen aus der Ferne.

Huntress beobachtete außerdem, wie der Angreifer den Krypto-Miner XMRig unter dem Dateinamen edge.exe herunterlud.

Um den Mining-Betrieb aufrechtzuerhalten, erstellte der Angreifer einen Dienst namens MicrosoftEdgeUpdateSvc. Trotz seines legitim wirkenden Namens unterstützte der Dienst die schädliche Installation.

Der Dienst führte msedge.exe aus, das die Forscher als modifizierte Kopie des legitimen Dienstprogramms Non-Sucking Service Manager identifizierten. Der Angreifer verwendete somit bekannte Softwarenamen, um Komponenten der Mining-Installation zu tarnen.

PowerShell-Skript verbirgt Mining-Aktivitäten vor dem Task-Manager

Die Operation umfasste außerdem ein PowerShell-Skript namens Taskgmr.ps1. Huntress vermutet, dass der Angreifer bei dessen Erstellung möglicherweise KI-Unterstützung eingesetzt hat, obwohl diese Einschätzung bislang nicht bestätigt wurde.

Das Skript stoppt den Mining-Dienst jedes Mal, wenn der Task-Manager geöffnet wird. Sobald der Task-Manager geschlossen wird, startet es den Dienst erneut.

Dadurch könnte jemand, der die Ressourcenauslastung überprüft, die Aktivitäten des Miners übersehen, solange das Überwachungsfenster geöffnet bleibt.

Zusätzlich schließt das Skript den Task-Manager um 18:00 Uhr Ortszeit. Es beendet die Anwendung auch dann, wenn sie während der Nacht länger als eine Stunde geöffnet bleibt.

Bei einem Vorfall installierte der Angreifer den anfälligen Treiber WinRing0x64.sys. Die Forscher vermuten, dass dies wahrscheinlich dazu dienen sollte, dem Miner Zugriff auf zusätzliche Hardwareressourcen zu verschaffen.

Forscher empfehlen, den Verwaltungszugriff einzuschränken

Da Huntress festgestellt hat, dass Version 10.3.4 anfällig ist, können sich Administratoren bei der Bewertung ihrer Gefährdung nicht allein auf frühere Informationen zu Sicherheitskorrekturen verlassen.

Die Forscher empfehlen, den Zugriff auf die Verwaltungsoberfläche von AhsayCBS auf vertrauenswürdige IP-Adressen zu beschränken. Außerdem raten sie dazu, betroffene Hostsysteme auf Anzeichen einer Kompromittierung zu untersuchen.

Wenn Ermittler einen Einbruch bestätigen, empfiehlt Huntress, das gesamte Hostsystem aus einer sicheren Datensicherung wiederherzustellen. Wird lediglich der sichtbare Krypto-Miner entfernt, könnten andere vom Angreifer installierte Hintertüren auf dem System verbleiben.

Zur Unterstützung von Untersuchungen hat das Unternehmen Indikatoren für eine Kompromittierung sowie vier Sigma-Erkennungsregeln veröffentlicht. Diese Ressourcen können Sicherheitsteams dabei helfen, Aktivitäten zu identifizieren, die mit den beobachteten Angriffen in Verbindung stehen.