Злоумышленники были замечены в эксплуатации двух недавно раскрытых уязвимостей в утилите резервного копирования AhsayCBS для захвата контроля над затронутыми устройствами и развертывания веб-оболочек и криптовалютных майнеров XMRig.
Подробности уязвимостей приведены ниже -
CVE-2026-105133 (оценка CVSS v4: 5.5) - Уязвимость неправильной аутентификации в функции checkSysPwd() в компоненте "com/ahsay/obs/api/ApiStructsAction.java".
CVE-2026-105134 (оценка CVSS v4: 9.3) - Уязвимость внедрения команд операционной системы в компоненте Replication Receiver.
Удаленный злоумышленник мог объединить две уязвимости, чтобы обойти аутентификацию и выполнять произвольные команды на затронутых системах. Стоит отметить, что идентификаторы CVE для этих уязвимостей не были опубликованы до 4 октября 2026 года.
Согласно Huntress, усилия по эксплуатации двух уязвимостей начались 7 октября 2026 года в 23:20 UTC, когда неустановленные злоумышленники использовали их для достижения удаленного выполнения кода на затронутых хостах. По состоянию на 8 октября 2026 года пять организаций, ставших целью, предположительно, были затронуты этими уязвимостями.
"После эксплуатации злоумышленники проводят разведку, сбрасывают веб-оболочки, устанавливают XMRig-майнеры, маскирующиеся под Microsoft Edge, и многое другое," - заявила кибербезопасная компания. "Они также сбросили то, что, по всей видимости, является скриптом PowerShell с поддержкой ИИ, который отслеживает Диспетчер задач Windows и закрывает его, если он остается открытым слишком долго посреди ночи."
Криптовалютные майнеры были обнаружены, подражая браузеру Microsoft Edge, используя имя "edge.exe", чтобы оставаться незамеченными. Также был сброшен скрипт PowerShell ("Taskgmr.ps1"), который облегчает операции по криптомайнингу после его запуска через curl.
Скрипт, который, как подозревается, был написан с помощью инструмента искусственного интеллекта (ИИ), содержит проверки против анализа, которые останавливают майнинг, как только жертва открывает приложение Диспетчер задач Windows. Он также настроен на завершение работы Диспетчера задач в 18:00, если он оставался открытым более одного часа ночью.
Хотя в уведомлениях, опубликованных в Национальной базе уязвимостей (NVD), говорится, что проблемы были устранены в последней версии программного обеспечения (10.3.4), Huntress с тех пор раскрыла, что она также затронута, по сути превращая их в нулевые дни.
В как минимум одном инциденте сообщается, что злоумышленники использовали встроенный бинарный файл "certutil.exe" для загрузки легитимного, но уязвимого драйвера ("WinRing0x64.sys") в папку TEMP, вероятно, с целью получения доступа на уровне ядра к базовому оборудованию и оптимизации процесса майнинга.
В отсутствие патча пользователям рекомендуется ограничить доступ к интерфейсу управления и искать признаки компрометации.
"Организациям следует ограничить доступ к веб-интерфейсу управления AhsayCBS, так как эксплойт нацелен на внешне доступный веб-приложение на хосте," - сказала Huntress. "Доступ должен быть ограничен только доверенными IP-адресами или требовать VPN."
Нравится эта статья? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.