Unpatched AhsayCBS flaws exploited to deploy webshells, mine crypto

Exploitation active de vulnérabilités critiques dans AhsayCBS

Des cyberattaquants exploitent deux vulnérabilités critiques au sein de la plateforme de sauvegarde AhsayCBS pour prendre le contrôle de serveurs, déployer des webshells et installer des mineurs de cryptomonnaie (XMRig). Malgré une version 10.3.4 annoncée comme corrigée, ces failles restent exploitables, affectant les fournisseurs de services gérés (MSP) et les intégrateurs.

Points clés :

• Mode opératoire : Les attaquants enchaînent un contournement d’authentification et une injection de commandes pour obtenir un accès complet.
• Persistance furtive : Le mineur est dissimulé via un service usurpant le nom de mises à jour Microsoft. Un script PowerShell surveille le Gestionnaire des tâches pour suspendre l’activité de minage et éviter d’être détecté par l’administrateur.
• Techniques avancées : Utilisation d’un utilitaire de service (NSSM) modifié et déploiement du pilote vulnérable WinRing0x64.sys pour optimiser les ressources matérielles dédiées au minage.

Vulnérabilités :

• CVE-2026-105133 : Contournement d’authentification (critique).
• CVE-2026-105134 : Injection de commandes OS (critique).

Recommandations :

• Restriction d’accès : Limiter l’accès à l’interface de gestion d’AhsayCBS aux seules adresses IP de confiance.
• Investigation : Rechercher des signes de compromission et auditer les services système suspects (notamment ceux liés à Microsoft Edge).
• Restauration : En cas de compromission avérée, procéder à une restauration complète du système à partir d’une sauvegarde saine, afin d’éliminer toute porte dérobée persistante.
• Détection : Utiliser les indicateurs de compromission (IoC) et les règles Sigma fournis par Huntress pour surveiller les comportements malveillants.

Source