Злоумышленники эксплуатируют уязвимости консолей резервного копирования AhsayCBS

Злоумышленники активно эксплуатируют консоли резервного копирования AhsayCBS, используя цепочку из двух уязвимостей. CVE-2026-105133 позволяет обходить аутентификацию в функции checkSysPwd API AhsayCBS, а CVE-2026-105134 допускает внедрение команд. Вместе они дают возможность удалённо выполнять код без аутентификации, по имеющимся сообщениям, с правами, эквивалентными учётной записи NT AUTHORITY\SYSTEM. Эксплуатацию впервые обнаружили 7 октября 2026 года. К 8 октября целями стали пять организаций. CVE-2026-105134 получила критическую оценку 9,3 по CVSS, а уязвимость обхода аутентификации получила оценку средней степени тяжести, 5,5.

Среди признаков атак исследователи наблюдали подозрительные дочерние процессы, запущенные cbssvcX64.exe, настройку вредоносного получателя репликации и размещение JSP-вебшеллов в каталоге приложения, обслуживаемого CBS. В папку %TEMP% злоумышленники загрузили файлы Taskgmr.ps1, msedge.exe, edge.exe и config.json. В одном из инцидентов файл WinRing0x64.sys загрузили с помощью certutil.

Файл edge.exe оказался майнером криптовалюты XMRig, который взаимодействовал с пулами майнинга через порт 8029. Для закрепления использовали службу Windows MicrosoftEdgeUpdateSvc. Она запускала от имени SYSTEM файл msedge.exe, модифицированный бинарный файл NSSM. Скрипт Taskgmr.ps1 пытался остановить эту службу при открытии Диспетчера задач.

Ahsay сообщила, что версия 10.3.4.0 не устраняет полностью ни одну из уязвимостей. Поставщик выпустил горячее исправление версии 10.3.4.45, после установки которого требуется перезагрузить систему. Затронуты сборки версии 10.

Авторы отчёта рекомендуют ограничить доступ к интерфейсу управления доверенными IP-адресами или через VPN. Также они рекомендуют проверить системы на наличие следующих признаков:

• JSP-вебшеллов;
• неожиданных получателей репликации;
• необычных дочерних процессов cbssvcX64.exe;
• службы MicrosoftEdgeUpdateSvc;
• файлов, связанных с майнерами;
• других связанных индикаторов.

Предположительно скомпрометированные системы авторы отчёта рекомендуют полностью пересоздать из доверенных носителей, предварительно проверив целостность резервных копий.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.