Aanvallers misbruiken actief twee kwetsbaarheden in AhsayCBS, het backupbeheerplatform van Ahsay, om webshells te plaatsen en in stilte cryptovaluta te minen. Dat meldt beveiligingsbedrijf Huntress, dat de aanvallen sinds 7 oktober waarneemt bij minstens vijf getroffen organisaties.
Het gaat om CVE-2026-105133, een kwetsbaarheid waarmee authenticatie te omzeilen is en waarvoor inmiddels een publieke exploit circuleert, en CVE-2026-105134, een fout waarmee via OS-command-injectie code op het systeem is uit te voeren. De aanvallers koppelen beide fouten aan elkaar: eerst omzeilen ze de login met CVE-2026-105133, waarna CVE-2026-105134 ze volledige code-uitvoering geeft.
Webshells en verborgen cryptomining
Eenmaal binnen verkennen de aanvallers het systeem, plaatsen ze JSP-webshells voor blijvende toegang en installeren ze een XMRig-cryptominer die zich voordoet als het legitieme proces edge.exe. Voor persistentie zetten ze een nepservice op met de naam “MicrosoftEdgeUpdateSvc”, die het gemanipuleerde msedge.exe-proces draait. Volgens Huntress is deze service een aangepaste kopie van NSSM (Non-Sucking Service Manager), een legitiem hulpprogramma dat normaal gewone programma’s als Windows-service laat draaien.
Een bijgeleverd PowerShell-script, Taskgmr.ps1, houdt de miner uit het zicht van systeembeheerders: het stopt de service zodra iemand Taakbeheer opent en start die pas weer op nadat het venster is gesloten. Hetzelfde script sluit Taakbeheer ook automatisch om 18:00 uur lokale tijd of wanneer het langer dan een uur ’s nachts openstaat. In één geval plaatste de aanvaller daarnaast het kwetsbare stuurprogramma WinRing0x64.sys, mogelijk om meer hardwarecapaciteit voor de miner vrij te maken. Huntress vermoedt dat het PowerShell-script met behulp van AI is geschreven.
Ahsay meldt dat beide kwetsbaarheden zijn verholpen in versie 10.3.2. Huntress onderzocht dit echter verder en ontdekte dat ook 10.3.4, de nieuwste beschikbare versie, nog steeds kwetsbaar is. Er is op het moment van schrijven dus geen versie die met zekerheid veilig is. Ahsay had op het moment van publicatie nog niet gereageerd op vragen van BleepingComputer over een definitieve fix.
Huntress heeft indicators of compromise en vier Sigma-detectieregels gepubliceerd waarmee organisaties kunnen controleren of hun AhsayCBS-omgeving al is getroffen. Het bedrijf adviseert om toegang tot de beheerinterface van AhsayCBS te beperken tot vertrouwde IP-adressen en het systeem grondig te onderzoeken op sporen van compromittering. Is een systeem bevestigd gecompromitteerd, dan raadt Huntress een volledige herinstallatie vanaf een schone back-up aan, omdat aanvallers mogelijk extra achterdeurtjes hebben achtergelaten die bij een gedeeltelijke opschoning over het hoofd worden gezien.
Voor Nederlandse organisaties die AhsayCBS gebruiken, vaak IT-dienstverleners en MSP’s die er klantbackups mee beheren, is dit een kwetsbaarheid om nu al serieus te nemen. Zonder patch is afschermen van de beheerinterface de belangrijkste maatregel, en een vreemde CPU-belasting of een onbekende service als “MicrosoftEdgeUpdateSvc” is reden voor direct onderzoek.
Update 14 oktober: Het NCSC heeft inmiddels een eigen advisory gepubliceerd met officiële CVSS-scores voor beide kwetsbaarheden. Belangrijker: Ahsay bracht op 10 oktober hotfix 10.3.4.45 uit, die alsnog het probleem oplost dat ook versie 10.3.4 nog kwetsbaar bleek. Lees het vervolg.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Beheert uw organisatie of IT-dienstverlener AhsayCBS voor backupbeheer? Er is nog geen werkende patch, ook niet in de nieuwste versie. Beperk toegang tot de beheerinterface tot vertrouwde IP-adressen en controleer het systeem op sporen van misbruik, zoals onbekende JSP-bestanden of de service 'MicrosoftEdgeUpdateSvc'.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.