Atacantes explotan fallas sin parche en AhsayCBS para instalar mineros
Huntress detectó ataques que encadenan dos vulnerabilidades de AhsayCBS para tomar control de sistemas, instalar webshells y minar criptomonedas.
La actividad comenzó el 7 de octubre y, hasta el día siguiente, al menos cinco organizaciones habían sido blanco de los ataques.
La versión más reciente, AhsayCBS 10.3.4, también está afectada, aunque las vulnerabilidades figuraban como corregidas desde la versión 10.3.2.
¿Cómo consiguen entrar los atacantes?
Las fallas son CVE-2026-105133, que permite eludir la autenticación, y CVE-2026-105134, que posibilita inyectar comandos en el sistema operativo.
Al encadenarlas, los atacantes logran ejecución remota de código sin autenticarse; una de las vulnerabilidades puede dar privilegios de sistema mediante una API.
AhsayCBS es una plataforma de gestión de copias de seguridad utilizada habitualmente por proveedores de servicios gestionados e integradores de sistemas.
¿Qué instalan y qué recomienda Huntress?
Tras acceder, los atacantes realizan reconocimiento, dejan webshells JSP y descargan el minero XMRig disfrazado como edge.exe, un nombre que imita a Microsoft Edge.
El minero se mantiene activo mediante un servicio llamado MicrosoftEdgeUpdateSvc; un script de PowerShell detiene la minería cuando se abre el Administrador de tareas.
Huntress recomienda restringir el acceso a la interfaz de gestión e investigar posibles indicios de intrusión mientras no haya un parche disponible.