AhsayCBS 中的严重漏洞被利用于植入 webshell 和加密货币挖矿程序

威胁攻击者正积极利用 AhsayCBS 备份管理平台中的两个漏洞（一个关键级别，一个中等严重级别）来部署 webshell 和加密货币挖矿程序。这些漏洞在某些版本中仍未修复，正被用于获取通常由托管服务提供商和系统集成商管理的系统的未授权访问权限，Bleeping Computer 提供了进一步的报道。

攻击利用了两个漏洞链：CVE-2026-105133（一个具有公开漏洞利用程序的身份验证绕过漏洞）和 CVE-2026-105134（允许操作系统命令注入）。尽管有报道称在 AhsayCBS 10.3.2 中已修复，但研究人员发现它们同样影响最新版本 10.3.4。在绕过身份验证后，攻击者部署了 Java Server Page (JSP) webshell 和伪装成 edge.exe 的 XMRig 加密货币挖矿程序。持久性是通过名为 “MicrosoftEdgeUpdateSvc” 的服务实现的，该服务运行 Non-Sucking Service Manager (NSSM) 工具的修改副本。一个 AI 辅助的 PowerShell 脚本 Taskgmr.ps1 通过在打开任务管理器时停止服务并在关闭时重新启动来隐藏挖矿活动。该脚本还会在下午 6 点或任务管理器被通宵打开时将其终止。在某些情况下，部署了 WinRing0x64.sys 驱动程序以释放更多硬件资源供挖矿程序使用。在补丁发布之前，建议管理员将对 AhsayCBS 管理界面的访问限制在受信任的 IP 地址，并调查受损迹象。

来源：Bleeping Computer