攻击者利用AhsayCBS备份软件的严重漏洞，入侵企业的备份服务器
入侵过程中部署了Webshell，并伪装XMRig加密货币挖矿程序以实现持久化和隐蔽性
研究人员敦促企业立即打补丁、限制访问权限，若已遭入侵则需对系统进行完整重新镜像
在一次相当大胆的黑客攻击中，研究人员发现威胁行为者正在针对企业用于防范网络攻击的备份服务器下手。
此次攻击中使用的漏洞目前已得到修复，但由于攻击仍在持续进行，使用该备份方式的企业被敦促立即应用补丁并加固其系统。
AhsayCBS备份工具
此次事件的核心是一款名为Ahsay Cloud Backup Suite（简称AhsayCBS）的备份工具，这是一款基于服务器的备份管理平台，由总部位于香港的同名公司开发。
企业、托管服务提供商（MSP）和IT管理员使用该平台来管理设备及客户在各类虚拟与物理服务器、数据库及各种软件环境中的备份，该工具被IT服务提供商广泛用于管理客户数据。
安全研究机构Huntress指出，2026年10月4日，AhsayCBS中的两个漏洞被公开披露：CVE-2026-105113和CVE-2026-105134。前者是影响checkSysPwd函数的中危漏洞，可能导致身份验证不当；后者是影响Replication Receiver组件的严重漏洞，可能导致攻击者以NT AUTHORITY/SYSTEM权限在主机上实现未经身份验证的远程代码执行。
研究人员解释道："该API存在身份验证绕过问题，可能允许使用随机令牌替代有效凭证。利用成功后，威胁行为者配置了一个恶意接收器，并将一个Java服务器页面（JSP）Webshell植入由CBS应用程序提供服务的应用目录中。"
仅仅三天后，威胁行为者便开始利用这些漏洞——先利用第一个漏洞绕过身份验证，再利用第二个漏洞获取代码执行权限，并在暴露的系统上部署Webshell。这些Webshell主要充当投放器的角色，部署了一系列第二阶段可执行程序。
挖掘加密货币
Huntress还观察到威胁行为者部署了一款流行的加密货币挖矿程序XMRig。这是一款合法的开源挖矿软件，利用计算机的硬件、电力和网络资源来挖掘门罗币，并将其存入攻击者的钱包。
门罗币是未经授权挖矿活动的首选货币，因为它被设计为一种隐私优先的加密货币，在区块链上很难被追踪。
攻击者花费大量心思，将XMRig隐藏在这些备份服务器上。他们将其伪装成微软Edge进程，并以虚假的Edge更新服务形式进行安装。他们还确保在有人查看时能将其隐藏起来。
一段脚本（显然是由AI编写的）会在任务管理器被打开时自动关闭挖矿程序，同一脚本还会在一小时后自动关闭任务管理器。
备份通常被视为抵御勒索软件攻击最有力的防护手段之一。几乎所有网络安全机构和思想领袖都建议企业部署备份，并频繁维护和管控备份，以确保其不会过时或损坏。而这些备份服务器竟能如此轻易地被攻破，这一事实理应引起高度警惕。那些遭受攻击的企业，若仅感染了XMRig而非彻底的勒索软件加密程序，已算是相当幸运了。
尽管如此，截至10月8日，Huntress表示已有至少五家机构遭到攻击。因此，所有使用AhsayCBS的企业都应尽快应用相关补丁，受影响的版本包括10.3.4及以下所有版本。
除了应用补丁外，企业还应限制对AhsayCBS管理界面的网络访问，因为此次漏洞利用针对的是主机上可从外部访问的Web应用服务。Huntress表示："访问权限应仅限于受信任的IP地址，或要求通过VPN访问。如果发现本文中列出的任何入侵指标（IoC），企业应从可信备份中对主机进行完整的重新镜像，因为攻击者已能够隐藏次级后门以实现长期持久化驻留。"
Q&A
Q1：AhsayCBS漏洞具体是什么？
A：此次涉及两个漏洞，分别是CVE-2026-105113（中危，身份验证不当）和CVE-2026-105134（严重，可导致未经授权的远程代码执行）。攻击者利用这两个漏洞绕过身份验证并获取服务器系统权限。
Q2：攻击者入侵备份服务器后做了什么？
A：攻击者部署了Webshell，并在服务器上安装伪装成微软Edge更新服务的XMRig加密货币挖矿程序，借此挖掘门罗币牟利，同时通过脚本隐藏挖矿行为以逃避检测。
Q3：企业该如何应对此次AhsayCBS漏洞攻击？
A：企业应立即为AhsayCBS打上官方补丁，限制管理界面的网络访问权限（仅允许可信IP或VPN访问），若发现已遭入侵迹象，建议从可信备份对主机进行完整重新镜像，以清除潜在后门。
