Ciberdelincuentes están explotando dos vulnerabilidades críticas en la plataforma AhsayCBS para desplegar *webshells* y mineros de criptomonedas, afectando incluso a la versión más reciente (10.3.4). Los atacantes evaden la autenticación y ejecutan código malicioso que utiliza scripts asistidos por IA para ocultar su actividad. Se recomienda restringir el acceso a la interfaz de gestión y realizar restauraciones completas en caso de compromiso.





Los actores de amenazas están explotando una vulnerabilidad crítica y una de severidad media que aún no han sido parcheadas en la plataforma de gestión de copias de seguridad AhsayCBS para desplegar webshells y mineros de criptomonedas.

AhsayCBS es utilizada habitualmente por proveedores de servicios gestionados (MSP) e integradores de sistemas. La actividad maliciosa fue observada el 7 de octubre y afectó al menos a cinco organizaciones.

Los dos problemas de seguridad explotados en los ataques se rastrean como CVE-2026-105133, una vulnerabilidad de omisión de autenticación que tiene un exploit público, y CVE-2026-105134, que puede ser aprovechada para la inyección de comandos del sistema operativo.

Ambas vulnerabilidades se reportaron como corregidas en AhsayCBS 10.3.2, pero investigadores de la empresa de detección y respuesta gestionada (MDR) Huntress descubrieron que también afectan a Ahsay 10.3.4, la versión más reciente actualmente.

"Después de una investigación más profunda, Huntress ha determinado que Ahsay 10.3.4 también se ve afectada por estas vulnerabilidades", afirma Huntress en una actualización hoy.

En los ataques observados, el actor de amenazas encadenó las dos vulnerabilidades: primero CVE-2026-105133 para omitir la autenticación y luego CVE-2026-105134 para la ejecución de código.

Tras obtener el acceso, Huntress observó que el atacante realizaba reconocimientos, desplegaba webshells de Java Server Page (JSP) y descargaba el minero XMRig disfrazado como edge.exe.

El minero persiste en el host a través de un servicio llamado ‘MicrosoftEdgeUpdateSvc’, que ejecuta msedge.exe, identificado por Huntress como una copia modificada de la utilidad legítima Non-Sucking Service Manager (NSSM).

Un archivo de PowerShell (Taskgmr.ps1) que Huntress cree que es un script asistido por IA oculta la actividad de minería deteniendo el servicio cuando se abre el Administrador de Tareas y reiniciándolo cuando este se cierra.

El script también finaliza el Administrador de Tareas a las 6 p.m. hora local o si permanece abierto durante más de una hora durante la noche.

En un caso, el atacante también desplegó el controlador vulnerable WinRing0x64.sys, probablemente en un intento de desbloquear más recursos de hardware para el minero.

BleepingComputer se ha puesto en contacto con AhsayCBS para preguntar sobre sus planes para corregir los dos fallos, pero no hemos recibido respuesta hasta el momento de la publicación.

Hasta que haya un parche disponible, Huntress recomienda que los administradores de sistemas restrinjan el acceso a la interfaz de gestión de AhsayCBS solo a direcciones IP confiables e investiguen indicios de compromiso.

Si se confirma un compromiso, los administradores deben realizar una restauración completa del host desde una copia de seguridad segura, ya que el atacante puede haber instalado puertas traseras adicionales para una persistencia prolongada.

Huntress también ha proporcionado indicadores de compromiso (IoCs) para esta actividad, junto con cuatro reglas Sigma para ayudar a los defensores a detectarla.

Fuente:
BleepingComputer