新闻
News Today
AhsayCBS零日漏洞遭在野利用，最新正式版仍受影响
AhsayCBS集中式云备份服务器管理控制台存在高危零日漏洞，目前已发现至少5家组织遭受攻击，攻击者获取了Windows SYSTEM最高权限。受影响群体主要为托管服务商（MSP）和系统集成商。值得注意的是，尽管厂商尚未发布补丁，但攻击活动已在最新版本中持续进行。
漏洞详情与利用链条
本次涉及两个关键漏洞：CVE-2026-105133（认证绕过）与CVE-2026-105134（远程代码执行）。攻击者通过组合利用这两个漏洞实现突破：首先利用checkSysPwd函数中的认证绕过缺陷，使用随机token替换合法凭证；随后通过Replication Receiver组件的UpdateReceivers.do接口执行未认证的远程代码，最终获得NT AUTHORITY/SYSTEM权限。
时间线回顾：10月4日NVD披露漏洞，初始评估认为10.3.2及以下版本受影响；10月7日深夜Huntress监测到在野利用活动；10月8日确认最新版10.3.4同样存在漏洞，目前暂无官方修复版本。
攻击手法与持久化机制
攻击者在获取SYSTEM权限后，并非单纯植入挖矿程序，而是构建了完整的持久化访问通道：
1. 植入Webshell：向Web应用目录投放JSP webshell，确保即使清除挖矿程序，攻击者仍能重新接入系统。
2. 伪装恶意服务：从阿里云对象存储下载载荷，将XMRig挖矿程序重命名为edge.exe，并利用修改版的NSSM工具（伪造成msedge.exe）注册名为MicrosoftEdgeUpdateSvc的Windows服务，伪装成微软Edge更新程序实现开机自启。
3. 反检测脚本：部署PowerShell脚本Taskgmr.ps1，该脚本会监控任务管理器进程。当用户打开任务管理器时暂停挖矿，关闭后恢复；若在下午6点或凌晨持续运行超过一小时，则强制终止任务管理器进程。专家推测该脚本可能由AI辅助生成，因其注释异常完整。
4. 内核驱动加载：部分案例中，攻击者加载存在漏洞的合法内核驱动WinRing0x64.sys（BYOVD技术），以解锁更多硬件资源用于挖矿。
风险影响与应急响应建议
AhsayCBS作为备份策略、存储和用户管理的核心控制平面，其失陷意味着企业灾难恢复能力可能被彻底破坏。对于MSP而言，单点突破可能导致下游大量客户企业面临风险。
紧急缓解措施：
1. 网络隔离：立即限制AhsayCBS管理界面的公网访问，仅允许受信IP或通过VPN接入。
2. 威胁排查：利用Huntress公开的IOC指标及Sigma规则进行排查，重点关注异常JSP文件、cbssvcX64.exe派生的可疑子进程、仿冒Edge更新的服务以及非常规端口的外连行为。
3. 系统重建：若确认入侵，不建议仅清理恶意软件。应从早于入侵时间点的可信备份中整机重建系统，并轮换所有相关凭证，以彻底清除潜在的Webshell及持久化后门。
当前攻击主要目的是挖矿，但鉴于该漏洞无需账号即可获取最高权限且无官方补丁，未来极可能被勒索团伙利用，将备份数据作为筹码，后果将更加严重。
来源：Huntress 官方博客