- 攻击者利用 AhsayCBS 备份软件的关键漏洞入侵企业备份服务器
- 入侵者通过 Web Shell 和伪装成 Microsoft Edge 的 XMRig 挖矿程序实现持久化与隐蔽运行
- 安全研究人员建议立即修补漏洞、限制访问权限，若发现受损迹象则需对系统进行完整重装
在一场针对企业基础设施的攻击中，黑客将目标锁定在用于抵御网络攻击的备份服务器上。尽管相关漏洞已发布修复方案，但由于攻击活动仍在持续，使用特定备份解决方案的组织被敦促立即应用补丁并加固其环境。
AhsayCBS 备份工具成攻击入口
此次事件的核心涉及名为 Ahsay Cloud Backup Suite（简称 AhsayCBS）的备份实用程序。该工具被企业、管理服务提供商（MSP）及 IT 管理员广泛用于管理虚拟和物理服务器、数据库及各类软件环境的备份任务，是 IT 服务商管理客户端数据的重要工具。
安全研究机构 Huntress 指出，AhsayCBS 的两个漏洞于 2026 年 10 月 4 日公开披露，分别为 CVE-2026-105113 和 CVE-2026-105134。前者是一个影响 checkSysPwd 功能的中度严重漏洞，可能导致身份验证失效；后者则是影响复制接收器组件的关键严重缺陷，允许未经认证的远程代码以 NT AUTHORITY/SYSTEM 权限在主机上执行。
研究人员解释称，TheAPI 中存在一个身份验证绕过机制，允许随机代码替代有效凭证。威胁行为者在利用该漏洞后，配置了恶意接收器，并将 Java Server Page (JSP) Web Shell 放置于由 CBS 应用服务托管的应用目录中。
在漏洞披露仅三天后，威胁行为者便开始主动利用这些缺陷。他们首先利用第一个漏洞绕过身份验证，随后部署的网络后门主要作为“滴水器”（Dropper），用于投放一系列第二阶段的可执行文件。
伪装成浏览器进程的加密货币挖矿
Huntress 还发现，威胁行为者在受感染的备份服务器上部署了流行的加密货币矿工 XMRig。该程序利用计算机的硬件资源、电力和网络连接挖掘 Monero（门罗币），并将收益转入攻击者的钱包。
Monero 因其隐私优先的设计特性，难以在区块链上进行追踪，因此成为非法加密货币挖矿的首选货币。
为了在备份服务器上隐藏 XMRig，攻击者采取了多种伪装手段：他们将挖矿进程伪装成 Microsoft Edge 进程，并将其安装为假的 Edge 更新服务，以确保在常规监控下不被察觉。
此外，攻击者还部署了一个脚本（据推测由 AI 编写），该脚本会在用户打开任务管理器时自动关闭矿工进程，并在一个小时后自动关闭任务管理器，以此规避人工检查。
备份通常被视为对抗勒索软件的最强防线，几乎所有网络安全机构都建议组织定期维护和控制备份。然而，备份系统相对容易遭受破坏这一事实值得警惕。对于当前受到攻击的企业而言，幸运的是目前仅检测到 XMRig 感染，而非完整的勒索软件加密器。
Huntress 表示，截至 10 月 8 日，至少有五个组织已成为攻击目标。所有使用 AhsayCBS 的组织必须尽快应用提供的补丁。受影响版本包括所有通过 10.3.4 版本的实用程序。
除了应用修复外，组织还应限制对 AhsayCBS 管理接口的网页访问，因为漏洞针对的是主机上外部可访问的 Web 应用服务。Huntress 建议，访问权限应仅限于可信 IP 地址或要求通过 VPN 连接。如果公司在日志中发现了本报告中列出的任何 IOC（失陷指标），应从可信备份中进行完整的主机重新镜像，因为攻击者已经能够隐藏二级后门以延长持久性。
