Atakujący wykorzystują dwie niezałatane podatności w AhsayCBS do instalowania webshelli i koparek
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- BleepingComputer ()
Dwie podatności w platformie do zarządzania kopiami zapasowymi AhsayCBS, w tym jedna krytyczna, są wykorzystywane w atakach, a poprawki nie ma. Huntress ustalił, że dotyczą też najnowszej wersji 10.3.4.
Atakujący wykorzystują dwie podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w AhsayCBS, platformie do zarządzania kopiami zapasowymi, które nie zostały załatane. Jedna z nich jest krytyczna, druga ma średni stopień ważności. Według BleepingComputer z platformy korzystają zwykle dostawcy usług zarządzanych (MSP) i integratorzy systemów. Złośliwą aktywność zaobserwowano 7 października, a jej celem było co najmniej pięć organizacji.
Chodzi o CVE-2026-105133, czyli obejście uwierzytelniania, dla którego jest publiczny exploit, oraz CVE-2026-105134, które pozwala na wstrzyknięcie poleceń systemu operacyjnego. W obserwowanych atakach napastnik połączył obie: najpierw obejście uwierzytelniania, potem wykonanie kodu. Po uzyskaniu dostępu prowadził rozpoznanie, instalował webshelle w postaci plików JSP (skrypty dające zdalną kontrolę nad serwerem) i pobierał koparkę kryptowalut XMRig podszywającą się pod plik edge.exe. Koparka utrzymuje się na hoście jako usługa MicrosoftEdgeUpdateSvc. Skrypt PowerShell, który według Huntress może być pisany z pomocą AI, wstrzymuje usługę, gdy użytkownik otwiera Menedżera zadań, i uruchamia ją ponownie po jego zamknięciu.
Obie podatności opisano jako naprawione w AhsayCBS 10.3.2. Badacze z Huntress ustalili jednak, że dotyczą także wersji 10.3.4, czyli najnowszej. BleepingComputer zapytał producenta o plany naprawy, ale do chwili publikacji nie dostał odpowiedzi.
Jeśli AhsayCBS działa w Twojej organizacji, sprawdź, czy interfejs zarządzania jest dostępny z internetu. Do czasu pojawienia się poprawki Huntress zaleca ograniczyć dostęp do tego interfejsu wyłącznie do zaufanych adresów IP i poszukać śladów włamania. Firma opublikowała wskaźniki naruszenia (IoC) oraz cztery reguły Sigma do wykrywania tej aktywności. Gdy włamanie się potwierdzi, administratorzy powinni w całości odtworzyć hosta z bezpiecznej kopii, bo napastnik mógł zostawić dodatkowe backdoory.
Pojęcia w tym tekście (1)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.