Киберпрестъпници експлоатират една критична уязвимост и една уязвимост със средна степен на опасност, за които все още липсват корекции за сигурност в платформата за управление на архивиране AhsayCBS, с цел инсталиране на уеб шелове и софтуер за копаене на криптовалута.
AhsayCBS обикновено се използва от доставчици на управлявани услуги (MSP) и системни интегратори. Злонамерената активност е забелязана на 7 октомври и е засегнала най-малко пет организации.
Двата проблема със сигурността, експлоатирани при атаките, се проследяват като CVE-2026-105133 (уязвимост за заобикаляне на автентикацията, за която има публично достъпен експлойт) и CVE-2026-105134 (която може да се използва за инжектиране на OS команди).
И двете уязвимости са докладвани като отстранени в AhsayCBS 10.3.2, но изследователи от компанията за управлявано откриване и реагиране (MDR) Huntress установиха, че те засягат и Ahsay 10.3.4, която към момента е най-новата версия.
„След допълнително разследване Huntress установи, че Ahsay 10.3.4 също е засегната от тези уязвимости“, заявяват от Huntress в днешното си съобщение.
При наблюдаваните атаки атакуващият е свързал двете уязвимости във верига – първо CVE-2026-105133 за заобикаляне на автентикацията, а след това CVE-2026-105134 за изпълнение на зловреден код.
След получаване на достъп Huntress забелязват, че атакуващият извършва разузнаване, инсталира Java Server Page (JSP) уеб шелове и изтегля софтуера за копаене XMRig, дегизиран като edge.exe.
Софтуерът за копаене си осигурява персистентност на хоста чрез услуга, наречена ‘MicrosoftEdgeUpdateSvc’, която стартира msedge.exe (идентифициран от Huntress като модифицирано копие на легитимния инструмент Non-Sucking Service Manager (NSSM)).
PowerShell файл (Taskgmr.ps1), за който Huntress предполага, че е скрипт, създаден с помощта на изкуствен интелект, прикрива копаенето, като спира услугата при отваряне на Task Manager и я рестартира при затварянето му.
Скриптът също така прекратява работата на Task Manager в 18:00 ч. местно време или ако той остане отворен за повече от един час през нощта.
В един от случаите атакуващият е инсталирал и уязвимия драйвер WinRing0x64.sys, най-вероятно в опит да освободи повече хардуерни ресурси за софтуера за копаене.
BleepingComputer се свърза с AhsayCBS, за да попита за плановете им за отстраняване на двете уязвимости, но до момента на публикуване няма отговор.
Докато не бъде налично обновяване, Huntress препоръчва на системните администратори да ограничат достъпа до интерфейса за управление на AhsayCBS само до доверени IP адреси и да разследват за признаци на компрометиране.
Ако бъде потвърден пробив, администраторите трябва да извършат пълно възстановяване на хоста от безопасно резервно копие, тъй като атакуващият може да е инсталирал допълнителни задни врати за продължително присъствие.
Huntress също така предостави индикатори за компрометиране (IoC) за тази активност, заедно с четири Sigma правила, които да помогнат на специалистите по защита да я откриват.