Attackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge
The Hacker News · 9 oct, 14:47
Atacantes explotan dos vulnerabilidades recientemente descubiertas en AhsayCBS para tomar control de dispositivos afectados e instalar minadores XMRig disfrazados de Microsoft Edge. La explotación comenzó el 7 de octubre de 2026, apenas tres días después de la divulgación pública, afectando a al menos cinco organizaciones. Los atacantes emplean scripts de PowerShell asistidos por IA para ocultar la actividad de minería y evadir detección.
Las dos vulnerabilidades permiten una cadena de ataque: CVE-2026-105133 (CVSS 5,5) en la función checkSysPwd() omite autenticación, y CVE-2026-105134 (CVSS 9,3) en el componente Replication Receiver ejecuta comandos del sistema operativo arbitrarios. Aunque los avisos del NVD afirman que la versión 10.3.4 las corrige, Huntress confirmó que también está afectada, convirtiéndolas en zero-days de facto.
Tras el acceso inicial, los atacantes realizan reconocimiento, despliegan web shells y minadores XMRig con el nombre ejecutable "edge.exe" para pasar desapercibidos. Un script PowerShell («Taskgmr.ps1») generado aparentemente con herramientas de IA monitoriza el Administrador de tareas de Windows y lo cierra si permanece abierto demasiado tiempo durante la noche, además de incluir comprobaciones anti-análisis. En al menos un incidente utilizaron «certutil.exe» para descargar un driver vulnerable (WinRing0x64.sys) y obtener acceso a nivel de kernel.
Puntos clave
- CVE-2026-105133 (CVSS 5,5) y CVE-2026-105134 (CVSS 9,3) permiten RCE tras cadena de ataque
- Explotación activa desde 7 de octubre de 2026; versión 10.3.4 también vulnerable
- Minadores XMRig disfrazados de edge.exe; scripts de PowerShell con anti-análisis asistido por IA
- Limita acceso web a la interfaz de gestión a direcciones IP confiables o requiere VPN