Des failles non corrigées d'AhsayCBS exploitées pour déployer des webshells et miner de la cryptomonnaie

Des attaquants exploitent une vulnérabilité critique et une de gravité moyenne non corrigées dans la plateforme de gestion de sauvegarde AhsayCBS pour déployer des webshells et des mineurs de cryptomonnaie. L'activité malveillante a été observée le 7 octobre et a ciblé au moins cinq organisations. Les deux failles, CVE-2026-105133 (contournement d'authentification avec exploit public) et CVE-2026-105134 (injection de commandes OS), sont annoncées comme corrigées dans AhsayCBS 10.3.2, mais Huntress a constaté qu'elles affectent aussi la version 10.3.4, la plus récente. Les attaquants ont enchaîné les deux vulnérabilités pour exécuter du code, puis ont déployé des webshells JSP et téléchargé le mineur XMRig déguisé en edge.exe, avec un script PowerShell Taskgmr.ps1 qui masque l'activité minière en arrêtant le service à l'ouverture du gestionnaire de tâches. Huntress recommande de restreindre l'accès à l'interface d'administration aux adresses IP de confiance et de fournit des indicateurs de compromission ainsi que quatre règles Sigma.