Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Attackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge

1 minute de lecture

Mis à jour :

Campagne de minage malveillante exploitant les failles d’AhsayCBS

Des cyberattaquants exploitent actuellement deux vulnérabilités critiques dans l’utilitaire de sauvegarde AhsayCBS pour prendre le contrôle de serveurs, déployer des web shells et installer des mineurs de cryptomonnaie XMRig. Ces mineurs se dissimulent sous le processus « edge.exe » pour échapper à la détection, accompagnés de scripts PowerShell automatisés (assistés par IA) capables de surveiller et de fermer le Gestionnaire des tâches Windows pour maintenir leur activité furtive.

Points clés :

  • Mode opératoire : Chaînage d’une vulnérabilité d’authentification et d’une injection de commande pour exécuter du code à distance (RCE).
  • Techniques avancées : Utilisation de l’outil certutil.exe pour télécharger des pilotes vulnérables (BYOVD - Bring Your Own Vulnerable Driver) afin d’obtenir un accès au niveau du noyau et optimiser le minage.
  • Persistance : Les attaquants ciblent les interfaces d’administration accessibles sur Internet.
  • Statut des correctifs : Bien que la version 10.3.4 d’AhsayCBS soit présentée comme corrigée, des rapports indiquent qu’elle reste vulnérable, transformant ces failles en attaques de type « zero-day ».

Vulnérabilités :

  • CVE-2026-105133 (CVSS 5.5) : Problème d’authentification incorrecte dans la fonction checkSysPwd().
  • CVE-2026-105134 (CVSS 9.3) : Vulnérabilité d’injection de commande OS dans le composant Replication Receiver.

Recommandations :

  • Restriction d’accès : Limiter strictement l’accès à l’interface de gestion d’AhsayCBS aux adresses IP approuvées uniquement ou imposer le passage par un VPN.
  • Surveillance : Rechercher des signes de compromission, notamment la présence de fichiers exécutables suspects nommés « edge.exe » dans des répertoires inhabituels et l’exécution de scripts PowerShell non autorisés.
  • Veille : Surveiller les communications officielles de l’éditeur pour une mise à jour réelle et efficace, compte tenu de l’échec des correctifs actuels.

Source

Vous pourriez aimer