Хакеры взламывают корпоративные серверы с целью кражи данных и установки программного обеспечения для майнинга криптовалют. Основной мишенью этих атак стала платформа Ahsay Cloud Backup Suite (AhsayCBS), которая была затронута двумя различными уязвимостями безопасности.
По данным компании по кибербезопасности Huntress, к 8 октября 2026 года были скомпрометированы как минимум пять организаций. Атаки начались всего через три дня после публичного раскрытия этих уязвимостей безопасности.
AhsayCBS, разработанная компанией со штаб-квартирой в Гонконге, широко используется ИТ-отделами и поставщиками услуг для управления резервными копиями баз данных, серверов и других корпоративных сред.
Уязвимости CVE-2026-105113 и CVE-2026-105134 стали общедоступными 4 октября. Первая уязвимость, классифицированная как средней тяжести, позволяет обойти механизмы аутентификации. Вторая, считающаяся критической, обеспечивает удаленное выполнение кода без необходимости аутентификации, предоставляя системные привилегии на скомпрометированной машине.
Через три дня после раскрытия преступники начали эксплуатировать эти бреши. Huntress сообщила, что злоумышленники настроили вредоносный приемник и установили веб-шелл в директорию приложения — функцию, которая позволяет выполнять команды удаленно и устанавливать другие программы на сервер.
Исследователи установили, что уязвимость аутентификации позволяет случайному токену заменить действительные учетные данные. После использования этой уязвимости злоумышленникам удалось внедрить вредоносный код внутрь приложения. Среди обнаруженных программ — XMRig, легитимный открытый майнер, который использует вычислительные ресурсы системы для майнинга Monero.
При этих атаках активность происходит без разрешения, а собранные криптовалюты направляются на кошельки преступников. Monero обладает функциями конфиденциальности, которые затрудняют отслеживание транзакций, что способствует ее использованию в несанкционированных операциях майнинга.
Чтобы скрыть программное обеспечение, злоумышленники заставили XMRig выглядеть как процесс Microsoft Edge и создали поддельные службы обновления браузера. Кроме того, был реализован скрипт для прерывания майнинга, если кто-либо открывал Диспетчер задач, завершая работу инструмента через час. По мнению экспертов, код, по всей видимости, был создан с помощью искусственного интеллекта.
Этот инцидент демонстрирует значительную уязвимость: серверы, предназначенные для восстановления данных после инцидентов, также могут быть скомпрометированы. Если злоумышленники сохраняют доступ к этим устройствам, простое удаление майнера может быть недостаточным для устранения угрозы.
Huntress уведомила, что все версии AhsayCBS до версии 10.3.4 уязвимы. Компания советует организациям внедрить корректирующие меры для устранения уязвимостей и предотвращения несанкционированного доступа. Huntress также предупреждает, что злоумышленники могут оставить дополнительные механизмы для обеспечения постоянного доступа к серверам, поэтому, заметив признаки вторжения, систему следует восстанавливать из надежного источника, а не просто удалять майнер.