Unpatched AhsayCBS flaws exploited to deploy webshells, mine crypto
BleepingComputer · 9 oct, 19:17
Actores de amenaza están explotando dos vulnerabilidades sin parches en la plataforma de gestión de copias de seguridad AhsayCBS para desplegar webshells y minadores de criptomonedas. Las vulnerabilidades CVE-2026-105133 (bypass de autenticación) y CVE-2026-105134 (inyección de comandos del SO) afectan al menos a cinco organizaciones, y aunque Ahsay comunicó la corrección en versión 10.3.2, investigadores han encontrado que la versión más reciente 10.3.4 también está afectada.
Los atacantes encadenan ambas vulnerabilidades: primero CVE-2026-105133 para eludir la autenticación y luego CVE-2026-105134 para ejecutar código. Una vez dentro, despliegan webshells JSP y descargan el minador XMRig disfrazado como edge.exe, que persiste a través de un servicio llamado 'MicrosoftEdgeUpdateSvc'. Huntress identificó un script PowerShell (Taskgmr.ps1) que detiene el servicio cuando se abre el Administrador de tareas y lo reinicia cuando se cierra, además de terminarlo a las 18:00 o si permanece abierto más de una hora durante la noche.
AhsayCBS es ampliamente utilizado por proveedores de servicios gestionados (MSP) e integradores de sistemas. En un caso, el atacante también desplegó el driver vulnerable WinRing0x64.sys, presumiblemente para desbloquear más recursos de hardware para el minador. Hasta que esté disponible un parche, Huntress recomienda restringir el acceso a la interfaz de gestión de AhsayCBS a direcciones IP de confianza e investigar signos de compromiso.
Puntos clave
- CVE-2026-105133 (bypass de autenticación) tiene exploit público disponible
- Versión 10.3.4 (última) también está afectada, a pesar de comunicado de corrección en 10.3.2
- Atacantes despliegan webshells JSP y minador XMRig con persistencia mediante servicio falso
- Script PowerShell con capacidades de evasión detecta y oculta la actividad de minería
- Sin parche disponible: restringir acceso a la interfaz de gestión a IPs de confianza