ハッカー、Microsoft Edgeを装ったマルウェアで企業のバックアップサーバーを仮想通貨マイニングに悪用

• 攻撃者はAhsayCBSバックアップソフトウェアの深刻な脆弱性を悪用し、組織のバックアップサーバーを侵害しました
• 侵入により、永続性と隠密性のためにウェブシェルが配置され、XMRig暗号資産マイナーが偽装されました
• 研究者は、パッチの即時適用、アクセスの制限、および侵害された場合のシステム全体の再イメージ化を強く求めています

特に大胆なハッキングにおいて、脅威アクターがサイバー攻撃に備えて企業がバックアップとして使用しているサーバーを標的にしているのが確認されました。

この攻撃で使用された脆弱性はその後修正されましたが、攻撃が現在も継続しているため、この特定のバックアップ方法を使用している組織は、直ちに修正を適用し、拠点のセキュリティを確保することが求められています。

AhsayCBSバックアップユーティリティ

このインシデントの中核にあるのは、香港に拠点を置く同名の企業によって開発された、サーバーベースのバックアップ管理プラットフォームであるAhsay Cloud Backup Suite（またはAhsayCBS）と呼ばれるバックアップユーティリティです。

からの最新動画TechRadar

企業、マネージドサービスプロバイダー（MSP）、およびIT管理者は、仮想および物理サーバー、データベース、さまざまなソフトウェア環境にわたるデバイスやクライアントのバックアップを管理するためにこれを使用しており、このツールはITサービスプロバイダーがクライアントのデータを管理するために広く利用されています。

セキュリティ研究者のHuntressは、2026年10月4日にAhsayCBSの2つの欠陥、CVE-2026-105113とCVE-2026-105134が公開されたと指摘しました。前者はcheckSysPwd関数に影響を与える中程度の深刻度の脆弱性で、不適切な認証につながる可能性があります。後者はReplication Receiverコンポーネントに影響を与える深刻な脆弱性で、ホスト上でNT AUTHORITY/SYSTEMとして認証なしのリモートコード実行につながる可能性があります。

「このAPIには、有効な資格情報の代わりにランダムなトークンを使用できる認証バイパスが含まれています」と研究者は説明しました。「悪用後、脅威アクターは悪意のあるレシーバーを構成し、CBSアプリケーションによって提供されるアプリケーションディレクトリにJava Server Page (JSP) ウェブシェルをドロップしました。」

わずか3日後、脅威アクターはこれらのバグの悪用を開始しました。1つ目は認証をバイパスするため、2つ目はコードを実行して公開されたシステムにウェブシェルを配置するためです。ウェブシェルは主にドロッパーとして機能し、一連の第2段階の実行ファイルを展開しました。