هکرها سرورهای پشتیبان کسب و کار را پس از مخفی کردن بدافزارهای پنهان شده به عنوان مایکروسافت اج به معدن رمزنگاری تبدیل می کنند.

مهاجمان از نقص های مهم نرم افزار پشتیبان AhsayCBS برای به خطر انداختن سرورهای پشتیبان سازمان ها سوء استفاده کردند.

نفوذی ها پوسته های وب را مستقر کردند و رمزنگارهای XMRig را برای پایداری و پنهان کاری پنهان کردند.

محققان خواستار اصلاح فوری، دسترسی محدود و تصویربرداری مجدد سیستم در صورت به خطر افتادن هستند در یک هک مخصوصا گستاخانه، عوامل تهدید سرورهایی را هدف قرار می‌دهند که کسب‌وکارها در صورت حمله سایبری از آنها به عنوان پشتیبان استفاده می‌کنند.

آسیب‌پذیری‌های مورد استفاده در این حمله از آن زمان کاهش یافته است، اما از آنجایی که حمله در حال حاضر ادامه دارد، از سازمان‌هایی که از این روش پشتیبان‌گیری خاص استفاده می‌کنند، خواسته می‌شود که فورا اصلاحات را اعمال کرده و محل خود را ایمن کنند.

ابزار پشتیبان گیری AhsayCBS

هسته اصلی این حادثه یک ابزار پشتیبان به نام Ahsay Cloud Backup Suite (یا AhsayCBS)، یک پلت فرم مدیریت پشتیبان مبتنی بر سرور است که توسط شرکتی به همین نام مستقر در هنگ کنگ توسعه یافته است.

کسب‌وکارها، ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و مدیران فناوری اطلاعات از آن برای مدیریت پشتیبان‌گیری برای دستگاه‌ها و مشتریان خود در طیف وسیعی از سرورهای مجازی و فیزیکی، پایگاه‌های داده و محیط‌های نرم‌افزاری مختلف، با ابزاری که به‌طور گسترده توسط ارائه‌دهندگان خدمات فناوری اطلاعات برای مدیریت داده‌های مشتریانشان استفاده می‌شود، استفاده می‌کنند.

محققین امنیتی Huntress خاطرنشان کردند که در 4 اکتبر 2026، دو نقص در AhsayCBS به طور عمومی افشا شد: CVE-2026-105113 و CVE-2026-105134. مورد اول یک آسیب پذیری با شدت متوسط ​​است که بر عملکرد checkSysPwd تأثیر می گذارد و می تواند منجر به احراز هویت نامناسب شود. مورد دوم یک نقص با شدت بحرانی است که بر مؤلفه Replication Receiver تأثیر می گذارد، که می تواند منجر به اجرای کد از راه دور غیرقابل تأیید به عنوان NT AUTHORITY/SYSTEM در میزبان شود.

محققان توضیح دادند: "API حاوی یک دور زدن احراز هویت است که می تواند به یک توکن تصادفی اجازه دهد تا اعتبارنامه های معتبر را جایگزین کند." "پس از بهره برداری، یک عامل تهدید یک گیرنده مخرب را پیکربندی کرد و یک صفحه وب سرور جاوا (JSP) را در دایرکتوری برنامه که توسط برنامه CBS ارائه می شود رها کرد."

تنها سه روز بعد، عوامل تهدید شروع به سوء استفاده از این اشکال کردند - اولین مورد برای دور زدن احراز هویت، و دومی برای به دست آوردن اجرای کد و استقرار پوسته های وب در سیستم های در معرض. پوسته های وب عمدتا به عنوان قطره چکان عمل می کردند و طیف وسیعی از فایل های اجرایی مرحله دوم را به کار می بردند.

ماینینگ کریپتو

هانترس همچنین شاهد بود که بازیگران تهدید یک رمزنگاری محبوب به نام XMRig را مستقر کردند. این یک ماینر منبع باز قانونی است که از سخت افزار، برق و اینترنت رایانه برای استخراج ارز Monero و واریز آن به کیف پول مهاجمان استفاده می کند.

Monero ارز مورد استفاده برای استخراج کریپتو ناخواسته است، زیرا به عنوان یک سکه برای حفظ حریم خصوصی طراحی شده است که ردیابی آن در زنجیره بلاک بسیار دشوار است.

مهاجمان تلاش زیادی کردند تا XMRig را در این سرورهای پشتیبان مخفی کنند. آنها آنها را به عنوان یک فرآیند مایکروسافت اج پنهان کردند و آنها را به عنوان خدمات به روز رسانی جعلی Edge نصب کردند. آنها همچنین مطمئن شدند که وقتی کسی نگاه می کند پنهان می شود.

هر زمان که Task Manager باز شود، یک اسکریپت (که ظاهرا توسط هوش مصنوعی نوشته شده است) ماینر را خاموش می کند. همان اسکریپت پس از یک ساعت Task Manager را می بندد.

پشتیبان گیری به عنوان یکی از قوی ترین محافظت ها در برابر حملات باج افزار تلقی می شود. تقریبا همه سازمان‌های امنیت سایبری و رهبران فکری به سازمان‌ها توصیه می‌کنند که از پشتیبان‌گیری‌ها استفاده کنند و مرتبا آنها را نگهداری و کنترل کنند تا مطمئن شوند که قدیمی یا خراب نیستند. این واقعیت که آنها می توانند با سهولت نسبی به خطر بیفتند باید دلیلی برای هشدار باشد. کسب و کارهایی که ضربه خوردند می توانند خود را خوش شانس بدانند که فقط به یک عفونت XMRig مبتلا شده اند و نه یک رمزگذار باج افزار تمام عیار.

هانترس گفت که گفته می شود، از 8 اکتبر، حداقل پنج سازمان قبلا هدف قرار گرفته اند. بنابراین، ضروری است تمامی سازمان هایی که از AhsayCBS استفاده می کنند، پچ ارائه شده را در اسرع وقت اعمال کنند. گفته شد تمامی نسخه های این ابزار از طریق 10.3.4 تحت تاثیر قرار گرفته اند.

علاوه بر اعمال رفع مشکل، سازمان‌ها باید دسترسی به وب رابط مدیریتی AhsayCBS را نیز محدود کنند، زیرا این اکسپلویت سرویس برنامه وب در دسترس خارجی را در میزبان هدف قرار می‌دهد. هانترس می گوید: «دسترسی باید فقط به آدرس های IP قابل اعتماد محدود شود یا به VPN نیاز داشته باشد. "اگر هر یک از IoC های فهرست شده در این وبلاگ کشف شده باشد، شرکت ها باید یک تصویر مجدد میزبان کامل را از یک نسخه پشتیبان قابل اعتماد انجام دهند، زیرا مهاجمان می توانند درهای پشتی ثانویه را برای ماندگاری طولانی پنهان کنند."