El 9 de octubre de 2026, Huntress informó de ataques contra servidores expuestos que ejecutan la plataforma de gestión de copias de seguridad AhsayCBS, utilizada habitualmente por proveedores de servicios gestionados e integradores de sistemas. La actividad maliciosa fue observada el 7 de octubre y afectó al menos a cinco organizaciones.
Los atacantes encadenaron CVE-2026-105133, una vulnerabilidad crítica de elusión de autenticación con exploit público, y CVE-2026-105134, un fallo de gravedad media que permite la inyección de comandos del sistema operativo. Aunque ambas vulnerabilidades figuran como corregidas en AhsayCBS 10.3.2, Huntress determinó que también afectan a Ahsay 10.3.4, la versión más reciente.
Tras obtener acceso, los actores realizaron tareas de reconocimiento, instalaron webshells Java Server Page (JSP) y descargaron el minero XMRig camuflado como edge.exe. La persistencia se estableció mediante el servicio MicrosoftEdgeUpdateSvc, que ejecuta msedge.exe, una copia modificada de la utilidad Non-Sucking Service Manager (NSSM), según Huntress.
También se observó el uso del archivo PowerShell Taskgmr.ps1, que oculta la actividad de minería al detener el servicio cuando se abre el Administrador de tareas y reiniciarlo después. El script termina además el Administrador de tareas a las 18:00, hora local, o si permanece abierto más de una hora durante la noche. En un caso, los atacantes desplegaron el controlador vulnerable WinRing0x64.sys, posiblemente para facilitar el acceso a más recursos de hardware.
Hasta que exista un parche disponible, Huntress recomienda restringir el acceso a la interfaz de administración de AhsayCBS mediante direcciones IP de confianza e investigar posibles indicios de compromiso. Si se confirma una intrusión, aconseja restaurar completamente el host desde una copia de seguridad segura, ya que podrían haberse instalado puertas traseras adicionales. La empresa también publicó indicadores de compromiso y cuatro reglas Sigma.
La información procede de BleepingComputer.
Fuente: BleepingComputer
Más noticias
Arrestan en Pensilvania a un ejecutivo de ciberseguridad vinculado presuntamente al caso ShinyHunters
El FBI arresta a otro sospechoso vinculado a ShinyHunters tras la intrusión contra la agencia
Alemania detiene tras su extradición a un supuesto miembro central de Qilin
El FBI incauta siete dominios vinculados a herramientas de Flax Typhoon
Un ataque de ransomware interrumpe IDCF Cloud, utilizada por clientes públicos en Japón
ShinyHunters intentó extorsionar a la antigua unidad de Boeing Jeppesen ForeFlight antes de la detención de un sospechoso