威胁行为者已被观察到利用最近披露的两个AhsayCBS备份工具漏洞，控制受影响设备并部署Web Shell和XMRig加密货币矿工。
漏洞的详细信息如下 -
CVE-2026-105133 (CVSS v4评分：5.5) - 在“com/ahsay/obs/api/ApiStructsAction.java”组件中的checkSysPwd()函数存在不当身份验证漏洞。
CVE-2026-105134 (CVSS v4评分：9.3) - 在复制接收器组件中存在操作系统命令注入漏洞。
远程攻击者可以将这两个漏洞串联起来，绕过身份验证并在受影响的系统上执行任意命令。值得注意的是，这些漏洞的CVE标识符直到2026年10月4日才被发布。
根据Huntress的说法，针对这两个漏洞的利用活动始于2026年10月7日晚上11:20 UTC，身份不明的威胁行为者利用它们在受影响的主机上实现远程代码执行。截至2026年10月8日，估计有五个目标组织受到这些漏洞的影响。
“在利用后，威胁行为者正在进行侦察，投放Web Shell，植入伪装成Microsoft Edge的XMRig加密矿工等，”这家网络安全公司表示。“他们还投放了一个看似由AI辅助的PowerShell脚本，该脚本监控Windows任务管理器，并在深夜保持打开状态过久时将其关闭。”
这些加密货币矿工通过使用名称“edge.exe”来伪装成Microsoft Edge浏览器，以避免被发现。同时还投放了一个PowerShell脚本（“Taskgmr.ps1”），该脚本在通过curl启动后促进加密挖矿操作。
该脚本被怀疑是借助人工智能（AI）工具编写的，包含反分析检查，一旦受害者打开Windows任务管理器应用程序，就会停止挖矿活动。如果任务管理器在晚上被打开超过一个小时，它还被配置为在下午6点终止任务管理器。
尽管国家漏洞数据库（NVD）发布的通知声明这些问题已在最新版本的软件（10.3.4）中得到解决，但Huntress随后透露，它也受到影响，实质上将其变为零日漏洞。
在至少一起事件中，威胁行为者被称为使用内置的“certutil.exe”二进制文件将一个合法但易受攻击的驱动程序（“WinRing0x64.sys”）下载到TEMP文件夹，可能旨在获得对底层硬件的内核级访问权限并优化挖矿过程。
在没有补丁的情况下，建议用户限制对管理界面的访问并寻找妥协迹象。
“Huntress表示，组织应限制对AhsayCBS管理界面的Web访问，因为该漏洞针对主机上可外部访问的Web应用程序服务。“访问应仅限于受信任的IP地址，或要求使用VPN。”
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。