Hakerlar korporativ serverlarga singib kirib, maʼlumotlarni oʻgʻirlash va kriptovalyuta qazib olish dasturlarini oʻrnatishni maqsad qilmoqda. Bu hujumlarining asosiy maqsadi ikki xil xavfsizlik zaifligi bilan taʼsirlangan Ahsay Cloud Backup Suite (AhsayCBS) platformasidir.
Kiberxavfsizlik kompaniyasi Huntress maʼlumotlariga koʻra, 2026-yil 8-sentabr sanasigacha kamida beshta tashkilot buzilgan. Hujumlar ushbu xavfsizlik nuqsonlari jamoatchilikka eʼlon qilinganidan atigi uch kun oʻtgach boshlangan.
Hong Kongda joylashgan kompaniya tomonidan ishlab chiqilgan AhsayCBS IT jamoalari va xizmat koʻrsatuvchilar tomonidan maʼlumotlar bazalari, serverlar va boshqa korporativ muhitlarning zaxiralarini boshqarish uchun keng qoʻllaniladi.
CVE-2026-105113 va CVE-2026-105134 nomli zaifliklar 4-oktabrda ommaga eʼlon qilindi. Birinchi zaiflik, oʻrtacha ogʻirlik darajasida baholangan, autentifikatsiya mexanizmlarini chetlab oʻtish imkonini beradi. Ikkinchisi esa halokatli deb hisoblanadi va autentifikatsiya talab qilmasdan masofadan kodlarni bajarishga imkon beradi, bu esa hujumga uchragan mashinada tizim huquqlarini beradi.
Eʼlon qilingandan uch kun oʻtgach, jinoyatchilar bu boʻshliqlardan foydalanishni boshladilar. Huntress hujjatiga koʻra, singib kiruvchilar zararli qabul qiluvchini sozlab, vebshellni ilova katalogiga oʻrnatdilar, bu esa serverda masofadan buyruqlar bajarish va boshqa dasturlarni oʻrnatish imkonini beradigan funksiyadir.
Tadqiqotchilar autentifikatsiya zaifligʻi tasodifiy tokenning toʻgʻri kredensiallarni almashtirishiga imkon berishini tahlil qilishdi. Ushbu zaiflikdan foydalangan holda, hujumchilar zararli kodni ilova ichiga joylashtirishga muvaffaq boʻlishdi. Aniqlangan dasturlar orasida Monero ni qazib olish uchun tizim resurslaridan foydalanadigan ochiq va legitiim qazuvchi boʻlgan XMRig mavjud.
Bu hujumlarda faoliyat ruxsatsiz amalga oshiriladi va yigʻilgan kriptovalyutalar jinoyatchilarning hamyonlariga yoʻnaltiriladi. Monero shaxsiy hayotni himoya qilish xususiyatlariga ega boʻlib, bu tranzaktsiyalarni kuzatishni qiyinlashtiradi va ruxsatsiz qazib olish operatsiyalarida uning ishlatilishini ragʻbatlantiradi.
Dasturni yashirish uchun hujumchilar XMRigni Microsoft Edge jarayoniga oʻxshatishdi va brauzerning yolgʻon yangilanish xizmatlarini yaratdilar. Bundan tashqari, kimdir Vazifa menejerini ochsa, vositani bir soatdan keyin yopib, qazib olishni toʻxtatish uchun skript amalga oshirildi. Mutaxassislarga koʻra, kod sunʼiy intellekt yordamida ishlab chiqilgan koʻrinadi.
Bu hodisa sezilarli zaiflikni koʻrsatadi: voqealar keyin maʼlumotlarni tiklash uchun moʻljallangan serverlar ham buzilishi mumkin. Agar hujumchilar ushbu uskunalar ustidan nazoratni saqlab qolsalar, faqat qazuvchini olib tashlash tahdidni yoʻq qilish uchun yetarli boʻlmasligi mumkin.
Huntress barcha versiyalardagi AhsayCBS 10.3.4 gacha boʻlgan versiyalari zaif ekanligini bildirdi. Kompaniya tashkilotlarga zaifliklarni bartaraf etish va ruxsatsiz kirishlarni oldini olish uchun tuzatish choralari joriy etishni maslahat beradi. Huntress shuningdek, hujumchilar serverlarga uzluksiz kirishni taʼminlash uchun qoʻshimcha mexanizmlarni qoldirishi mumkinligini ogohlantiradi va shuning uchun, singib kirish belgilarini payqaganida, faqat qazuvchini oʻrnatmaslik oʻrniga, tizimni ishonchli manbadan qayta qurish tavsiya etiladi.