黑客将恶意软件伪装成 Microsoft Edge 潜入，将企业备份服务器变为加密货币矿机

• 攻击者利用关键的 AhsayCBS 备份软件漏洞入侵了组织的备份服务器
• 入侵部署了 webshell 并伪装了 XMRig 加密货币挖矿程序以实现持久化和隐蔽
• 研究人员敦促立即打补丁、限制访问，并在遭到破坏时进行完整的系统镜像重装

在一次特别猖獗的黑客攻击中，威胁行为者被发现瞄准了企业在发生网络攻击时用作备份的服务器。

这次攻击中使用的漏洞自那时起已得到缓解，但由于攻击目前仍在进行中，敦促使用这种特定 备份方法 的组织立即应用修复程序并确保其场所安全。

AhsayCBS 备份工具

这次事件的核心是一个名为 Ahsay Cloud Backup Suite（或 AhsayCBS）的备份工具，这是一个由同名公司开发的基于服务器的备份管理平台，该公司总部位于香港。

TechRadar 的最新视频

企业、托管服务提供商 (MSP) 和 IT 管理员使用它来管理各种虚拟和物理服务器、数据库以及各种软件环境中其设备和客户端的备份，该工具被 IT 服务提供商广泛用于管理其客户的数据。

安全研究人员 Huntress 指出，2026 年 10 月 4 日，AhsayCBS 的两个漏洞被公开披露：CVE-2026-105113 和 CVE-2026-105134。前者是影响 checkSysPwd 函数的中等严重程度漏洞，可能导致不当身份验证。后者是影响 Replication Receiver 组件的关键严重程度漏洞，可能导致在主机上以 NT AUTHORITY/SYSTEM 身份执行未经身份验证的远程代码。

“该 API 包含一个身份验证绕过，可能允许使用随机令牌替换有效凭据，”研究人员解释道。“利用漏洞后，威胁行为者配置了一个恶意接收器，并在 CBS 应用程序服务的应用程序目录中投放了一个 Java Server Page (JSP) webshell。”

仅仅三天后，威胁行为者开始利用这些漏洞——第一个用于绕过身份验证，第二个用于获得代码执行并在暴露的系统上部署 webshell。这些 webshell 主要用作投放器，部署了一系列 第二阶段可执行文件。

挖掘加密货币

Huntress 还看到威胁行为者部署了一个名为 XMRig 的流行加密货币挖矿程序。这是一个合法的开源挖矿程序，它利用计算机的硬件、电力和互联网来挖掘 Monero 货币并将其存入攻击者的 钱包。

Monero 是未经请求的加密货币挖矿的首选货币，因为它被设计为一种隐私至上的货币，很难在区块链上追踪。

攻击者竭尽全力在这些备份服务器上隐藏 XMRig。他们将其伪装成 Microsoft Edge 进程，并将其安装为虚假的 Edge 更新服务。他们还确保在有人查看时它会隐藏起来。

一个脚本（显然是由 AI 编写的）在每次打开任务管理器时都会关闭挖矿程序。同样的脚本会在一小时后关闭任务管理器。