해커들, Microsoft Edge 위장 악성코드로 기업 백업 서버에서 암호화폐 채굴

• 공격자들은 조직의 백업 서버를 침해하기 위해 AhsayCBS 백업 소프트웨어의 치명적인 결함을 악용했습니다
• 침입 시 지속성과 은폐를 위해 웹셸을 배포하고 XMRig 암호화폐 채굴기로 위장했습니다
• 연구원들은 즉각적인 패치, 접근 제한 및 침해 시 시스템의 전체 재이미징을 권고합니다

특히 뻔뻔한 해킹 사례에서, 위협 행위자들이 사이버 공격에 대비해 기업들이 백업용으로 사용하는 서버를 표적으로 삼는 것이 목격되었습니다.

이 공격에 사용된 취약점은 이후 완화되었지만, 공격이 현재 진행 중이므로 이 특정 백업 방식을 사용하는 조직은 즉시 수정 사항을 적용하고 시설을 보호할 것을 권장합니다.

AhsayCBS 백업 유틸리티

이 사건의 중심에는 홍콩에 본사를 둔 같은 이름의 회사에서 개발한 서버 기반 백업 관리 플랫폼인 Ahsay Cloud Backup Suite(또는 AhsayCBS)라는 백업 유틸리티가 있습니다.

TechRadar의최신 비디오

기업, 매니지드 서비스 제공업체(MSP) 및 IT 관리자는 다양한 가상 및 물리적 서버, 데이터베이스 및 여러 소프트웨어 환경에서 장치와 클라이언트의 백업을 관리하는 데 이를 사용하며, 이 도구는 IT 서비스 제공업체가 클라이언트의 데이터를 관리하는 데 널리 사용됩니다.

보안 연구소 Huntress는 2026년 10월 4일, AhsayCBS의 두 가지 결함인 CVE-2026-105113과 CVE-2026-105134가 공개되었다고 언급했습니다. 전자는 checkSysPwd 함수에 영향을 미치는 중간 위험도의 취약점으로, 부적절한 인증으로 이어질 수 있습니다. 후자는 Replication Receiver 구성 요소에 영향을 미치는 치명적인 위험도의 결함으로, 호스트에서 NT AUTHORITY/SYSTEM으로서 인증되지 않은 원격 코드 실행으로 이어질 수 있습니다.

“API에는 유효한 자격 증명을 대신하여 임의의 토큰을 허용할 수 있는 인증 우회 기능이 포함되어 있습니다.”라고 연구원들은 설명했습니다. “악용 후, 위협 행위자는 악성 수신기를 구성하고 CBS 애플리케이션에서 제공하는 애플리케이션 디렉토리에 Java Server Page(JSP) 웹셸을 드롭했습니다.”

불과 3일 후, 위협 행위자들은 이러한 버그를 악용하기 시작했습니다. 첫 번째 버그는 인증을 우회하는 데 사용되었고, 두 번째 버그는 노출된 시스템에서 코드를 실행하고 웹셸을 배포하는 데 사용되었습니다. 웹셸은 주로 드로퍼 역할을 하여 다양한 2단계 실행 파일을 배포했습니다.