Хакеры начали взламывать серверы резервного копирования AhsayCBS через две уязвимости, а после проникновения ставят веб-шеллы и майнер XMRig. Специалисты Huntress увидели атаки как минимум на пять организаций. Проблема особенно опасна потому, что под удар попала и AhsayCBS 10.3.4, последняя доступная версия, а готового исправления пока нет.
Для взлома атакующие объединяют две ошибки. CVE-2026-105133 позволяет обойти проверку подлинности, после чего CVE-2026-105134 дает возможность внедрить команду операционной системы. В Windows злоумышленник в итоге может удалённо выполнять команды с правами NT AUTHORITY\SYSTEM, то есть практически с максимальными привилегиями.
После проникновения хакеры сначала изучают сервер, затем оставляют веб-шелл, через который могут снова выполнять команды. Следующим шагом на машину загружается XMRig для добычи Monero. Майнер получает имя edge.exe, чтобы затеряться среди файлов, напоминающих компоненты Microsoft Edge.
Злоумышленники также создают службу MicrosoftEdgeUpdateSvc. Через неё запускается файл msedge.exe, внутри которого Huntress обнаружила изменённую копию легитимной утилиты NSSM. Такая схема позволяет автоматически запускать майнер и сохранять его работу после перезагрузки системы.
Отдельный сценарий PowerShell под названием Taskgmr.ps1 следит за Диспетчером задач. Когда администратор открывает системную утилиту, сценарий останавливает майнинг, а после её закрытия запускает добычу криптовалюты снова. Ночью код способен закрыть Диспетчер задач, если тот остаётся открытым слишком долго. Huntress допускает, что при написании сценария злоумышленники использовали генеративный ИИ, но пока такая версия основана только на структуре и комментариях в коде.
В одном из расследованных случаев хакеры дополнительно загрузили уязвимый драйвер WinRing0x64.sys. Специалисты предполагают, что с его помощью атакующие пытались открыть майнеру больше аппаратных ресурсов и повысить производительность добычи Monero.
Сначала считалось, что две уязвимости затрагивают AhsayCBS до версии 10.3.2 включительно, а выпуск 10.3.4 устраняет проблему. Дополнительная проверка изменила картину: Huntress установила, что версия 10.3.4 тоже допускает такую атаку. По состоянию на 10 октября безопасную версию разработчик не выпустил.
Пока обновления нет, администраторам советуют убрать панель управления AhsayCBS из открытого интернета и разрешить доступ только с доверенных IP-адресов. Если сервер уже мог попасть под атаку, Huntress рекомендует искать признаки компрометации, а при подтверждённом взломе полностью восстанавливать систему из чистой резервной копии. Одного удаления майнера недостаточно: злоумышленники могли оставить другие способы вернуться на сервер.
AhsayCBS используют поставщики управляемых ИТ-услуг и системные интеграторы для централизованного управления резервными копиями. Поэтому захваченный сервер дает атакующему гораздо более ценную точку опоры, чем обычный заражённый компьютер: через систему проходят настройки резервного копирования и доступ к инфраструктуре клиентов.