Sikkerhetssårbarheter i AhsayCBS utnyttes til å installere kryptoutvinnere

Angripere utnytter to sikkerhetssårbarheter i AhsayCBS til å kompromittere servere for sikkerhetskopiadministrasjon, installere webshells og kjøre kryptoutvinnere. Sikkerhetsforskere observerte aktiviteten 7. oktober, med minst fem organisasjoner som mål.

Selv om sårbarhetsregistrene oppgir at begge problemene ble rettet i versjon 10.3.2, oppdaget Huntress at de også påvirker versjon 10.3.4. Dette var den nyeste versjonen på tidspunktet for selskapets oppdatering 9. oktober.

Funnene innebærer at administratorer står overfor aktive angrep uten en bekreftet løsning i den rapporterte gjeldende versjonen.

Angripere kombinerer omgåelse av autentisering med kommandoinjeksjon

AhsayCBS er en plattform for administrasjon av sikkerhetskopiering som ofte brukes av leverandører av administrerte IT-tjenester og systemintegratorer.

Angrepene kombinerer CVE-2026-105133, en sårbarhet som gjør det mulig å omgå autentisering, med CVE-2026-105134, en feil som muliggjør kommandoinjeksjon i operativsystemet. De to problemene har henholdsvis kritisk og middels alvorlighetsgrad.

En offentlig tilgjengelig utnyttelseskode finnes allerede for sårbarheten som gjør det mulig å omgå autentisering. I de observerte hendelsene brukte angriperne først denne svakheten til å komme forbi autentiseringen.

Deretter utnyttet de sårbarheten for kommandoinjeksjon til å kjøre kode på den berørte serveren. Sammen ga sikkerhetssårbarhetene i AhsayCBS en vei fra uautentisert tilgang til ondsinnet aktivitet på vertssystemet.

Webshells gir tilgang mens XMRig utvinner kryptovaluta

Etter å ha fått tilgang undersøkte angriperen de kompromitterte systemene og installerte webshells basert på Java Server Pages. Disse skadelige filene gjør det mulig å utføre kommandoer eksternt.

Huntress observerte også at angriperen lastet ned kryptoutvinneren XMRig under filnavnet edge.exe.

For å opprettholde kryptoutvinningen opprettet angriperen en tjeneste kalt MicrosoftEdgeUpdateSvc. Til tross for det legitime navnet støttet tjenesten den skadelige installasjonen.

Tjenesten kjørte msedge.exe, som forskerne identifiserte som en modifisert kopi av det legitime verktøyet Non-Sucking Service Manager. Angriperen brukte dermed kjente programvarenavn for å skjule komponenter i kryptoutvinningsoppsettet.

PowerShell-skript skjuler kryptoutvinning fra Oppgavebehandling

Operasjonen omfattet også et PowerShell-skript med navnet Taskgmr.ps1. Huntress mener at angriperen kan ha brukt AI-assistanse til å lage det, selv om denne vurderingen fortsatt ikke er bekreftet.

Skriptet stopper kryptoutvinningstjenesten hver gang Oppgavebehandling åpnes. Når Oppgavebehandling lukkes, starter tjenesten på nytt.

Dermed kan en person som undersøker ressursbruken, overse kryptoutvinnerens aktivitet mens overvåkingsvinduet er åpent.

I tillegg lukker skriptet Oppgavebehandling klokken 18.00 lokal tid. Det avslutter også programmet dersom det forblir åpent i mer enn én time i løpet av natten.

I én hendelse installerte angriperen den sårbare driveren WinRing0x64.sys. Forskerne mener at hensikten sannsynligvis var å gi kryptoutvinneren tilgang til ytterligere maskinvareressurser.

Forskere anbefaler å begrense tilgangen til administrasjonsgrensesnittet

Fordi Huntress oppdaget at versjon 10.3.4 er sårbar, kan administratorer ikke utelukkende stole på tidligere informasjon om sikkerhetsrettelser når de vurderer eksponeringen.

Forskerne anbefaler å begrense tilgangen til administrasjonsgrensesnittet i AhsayCBS til pålitelige IP-adresser. De anbefaler også å undersøke berørte vertssystemer for tegn på kompromittering.

Hvis etterforskere bekrefter et innbrudd, anbefaler Huntress å gjenopprette hele vertssystemet fra en sikker sikkerhetskopi. Å fjerne bare den synlige kryptoutvinneren kan føre til at andre bakdører installert av angriperen blir liggende igjen.

For å støtte etterforskningen har selskapet publisert indikatorer på kompromittering og fire Sigma-regler for deteksjon. Disse ressursene kan hjelpe sikkerhetsansvarlige med å identifisere aktivitet knyttet til de observerte angrepene.