AhsayCBS: breșe fără patch exploatate pentru web shell și XMRig

Două vulnerabilități din AhsayCBS, consola centralizată cu care se administrează servere de backup în cloud, sunt exploatate în atacuri reale și nu au încă o corecție. Este vorba de CVE-2026-105133 (ocolirea autentificării) și CVE-2026-105134 (injecție de comenzi ale sistemului de operare). Compania de detecție și răspuns Huntress a observat atacatori care le înlănțuie pentru a executa cod de la distanță fără autentificare, a instala web shell-uri JSP și a porni minerul de criptomonede XMRig deghizat în Microsoft Edge. Potrivit Huntress, este vulnerabilă și versiunea 10.3.4, ultima disponibilă.

Ce s-a întâmplat

AhsayCBS, dezvoltat de Ahsay Systems, administrează politicile de backup, stocarea și utilizatorii. Este folosit mai ales de furnizorii de servicii gestionate (MSP) și de integratorii de sisteme, care îl utilizează pentru backupurile clienților lor.

Cele două vulnerabilități au fost făcute publice pe 4 octombrie. Potrivit SecurityWeek, NIST avertiza atunci că un cod de exploit era deja public și că erau afectate versiunile AhsayCBS până la 10.3.2. BleepingComputer relatează în schimb că breșele figurau ca fiind corectate în 10.3.2. Într-un punct sursele sunt de acord: după verificări suplimentare, Huntress a stabilit că și versiunea 10.3.4 este vulnerabilă.

Activitatea malițioasă a fost observată pe 7 octombrie, potrivit BleepingComputer. La 8 octombrie, cel puțin cinci organizații fuseseră vizate. Sursele nu numesc victimele și nu atribuie atacurile unui grup anume. BleepingComputer a întrebat Ahsay când vor sosi corecțiile, fără să primească un răspuns până la publicare.

Detalii tehnice

• CVE-2026-105133: ocolirea autentificării, cu un exploit public.
• CVE-2026-105134: injecție de comenzi ale sistemului de operare.
• Gravitate: potrivit BleepingComputer, una dintre ele este critică, iar cealaltă de gravitate medie; sursele nu spun care.
• Versiuni afectate: toate până la 10.3.4 inclusiv, potrivit Huntress. Deocamdată nu există o versiune corectată.
• Vector: rețea, prin serviciul web al aplicației expus pe Internet.

Huntress, citată de SecurityWeek, descrie punctul de intrare: un API al componentei Replication Receiver conține o ocolire a autentificării prin care un token oarecare poate înlocui credențiale valide. Astfel se obține execuție de cod la distanță, fără autentificare și cu privilegii SYSTEM. SecurityWeek leagă acest comportament de CVE-2026-105134, în timp ce BleepingComputer descrie lanțul în doi pași: întâi CVE-2026-105133 pentru a ocoli autentificarea, apoi CVE-2026-105134 pentru a executa cod.

Lanțul de atac observat

1. Acces inițial: exploatarea celor două vulnerabilități pe interfața web expusă.
2. Web shell: atacatorul configurează un receiver malițios și plasează un web shell JSP în folderul aplicației servite de AhsayCBS.
3. Recunoaștere a sistemului compromis.
4. Criptominare: descărcarea XMRig cu numele edge.exe.
5. Persistență: un serviciu Windows numit MicrosoftEdgeUpdateSvc rulează msedge.exe, care este de fapt o copie modificată a utilitarului legitim NSSM (Non-Sucking Service Manager), cu privilegii SYSTEM. NSSM ține minerul în execuție și îl repornește după o eroare sau o repornire.
6. Ascundere: scriptul PowerShell Taskgmr.ps1, scris după Huntress cu ajutorul IA, oprește serviciul când se deschide Task Manager și îl repornește când acesta se închide. În plus, închide Task Manager la ora 18, ora locală, sau dacă rămâne deschis mai mult de o oră în timpul nopții.
7. Driver vulnerabil: într-un caz atacatorul a instalat WinRing0x64.sys, un driver legitim, dar vulnerabil, pentru a-i da minerului acces la nivel de kernel și mai multe resurse hardware.

Minerul deghizat în Microsoft Edge este subiectul și titlului din The Hacker News, a treia sursă, al cărei text complet nu a putut fi consultat.

MITRE ATT&CK (corespondența noastră pentru comportamentele descrise): T1190 Exploit Public-Facing Application, T1505.003 Web Shell, T1059.001 PowerShell, T1543.003 Windows Service, T1036.004 Masquerade Task or Service, T1036.005 Match Legitimate Name or Location, T1496 Resource Hijacking.

Impactul pentru companiile europene și italiene

În atacurile observate scopul era minarea, dar un web shell cu privilegii SYSTEM pe o consolă de backup îi oferă atacatorului mult mai mult. Prin ea trec politicile, stocarea și utilizatorii backupurilor, adesea pentru mulți clienți ai aceluiași furnizor. Cine controlează acea consolă poate pregăti atacuri mai grave, inclusiv ransomware, pornind chiar de la instrumentul care servește la restaurarea datelor.

Furnizorii MSP intră în domeniul de aplicare al NIS2 (în Italia, Decretul Legislativ 138/2024). Pentru ei, compromiterea unei platforme folosite pentru serviciile oferite clienților poate fi un incident semnificativ care trebuie notificat CSIRT-ului național, în Italia CSIRT Italia din cadrul ACN. Trebuie evaluată și obligația de a informa clienții afectați. Dacă backupurile conțin date personale, trebuie luată în calcul notificarea încălcării către autoritatea de protecție a datelor, conform GDPR. În sănătate, unde backupurile păstrează date clinice, disponibilitatea și integritatea copiilor sunt o cerință pentru continuitatea serviciului.

Ce faci acum

1. Inventar: identifică toate instanțele AhsayCBS, inclusiv cele administrate de furnizorii tăi de backup. Consideră-le vulnerabile indiferent de versiune, inclusiv 10.3.4.
2. Restricționează accesul la interfața web, cum recomandă Huntress: doar de la adrese IP de încredere sau prin VPN. Este măsura principală până la apariția patch-ului.
3. Caută semne de compromitere:
   • un serviciu MicrosoftEdgeUpdateSvc sau alte servicii cu numele Microsoft Edge care rulează executabile din afara folderelor de instalare ale browserului;
   • fișiere msedge.exe sau edge.exe în căi neobișnuite, scriptul Taskgmr.ps1 și driverul WinRing0x64.sys;
   • fișiere JSP noi în folderul aplicației AhsayCBS și receivere de replicare pe care nu le-ai configurat;
   • Task Manager care se închide singur, consum anormal de CPU, conexiuni de ieșire către pool-uri de minare.
4. Folosește indicatorii publicați de Huntress: IoC-urile și cele patru reguli Sigma de detecție.
5. Dacă găsești indicii: păstrează jurnalele și dovezile, izolează hostul și tratează evenimentul ca pe un incident. Huntress recomandă o restaurare completă a hostului dintr-un backup sigur, deoarece atacatorul ar fi putut lăsa și alte backdoor-uri. Apoi schimbă credențialele administrative ale consolei.
6. Urmărește noutățile de la Ahsay și aplică corecția imediat ce este disponibilă, apoi verifică dacă versiunea instalată este într-adevăr corectată.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet și ce produse sunt recunoscute pe ele: o consolă AhsayCBS accesibilă oricui apare printre constatări. Pe serverele Windows, agentul ARX Sentry colectează jurnale și evenimente de securitate, procese, porturi și modificările fișierelor din folderele stabilite, cum este cel al aplicației AhsayCBS; evenimentele de execuție suspectă și de persistență sunt grupate și evidențiate. ARX Shield îți permite să izolezi de rețea o mașină suspectă, iar cu ARX Trace analiștii pot lansa colectări și căutări ale indicatorilor pe mai multe servere.

Ultima actualizare: 9 octombrie 2026