Cảnh báo lỗ hổng bảo mật nghiêm trọng CVE-2026-105133 và CVE-2026-105134 trên AhsayCBS

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng tinh vi nhắm vào các máy chủ sao lưu AhsayCBS, trong đó kẻ tấn công tận dụng hai lỗ hổng bảo mật nghiêm trọng để chiếm quyền điều khiển hệ thống, cài đặt webshell và triển khai mã độc đào tiền ảo.

Chi tiết về chiến dịch tấn công và lỗ hổng

Chiến dịch tấn công bắt đầu được ghi nhận từ ngày 7 tháng 10 năm 2026. Kẻ tấn công đã kết hợp hai lỗ hổng để vượt qua cơ chế xác thực và thực thi lệnh với đặc quyền cao nhất trên hệ điều hành Windows. Cụ thể, lỗ hổng CVE-2026-105133 là lỗi xác thực trong hàm checkSysPwd, trong khi CVE-2026-105134 là lỗ hổng tiêm lệnh từ xa tại endpoint /rps/api/json/UpdateReceivers.do.

Sự kết hợp này cho phép kẻ tấn công bỏ qua các bước đăng nhập thông thường và thực thi các lệnh hệ thống với quyền NT AUTHORITY\SYSTEM. Mặc dù thông tin từ NVD cho rằng phiên bản 10.3.4 đã được vá, các báo cáo thực tế từ các chuyên gia an ninh mạng cho thấy phiên bản này vẫn tồn tại rủi ro, đòi hỏi các quản trị viên cần đặc biệt lưu ý khi đánh giá mức độ phơi nhiễm của hệ thống.

Hành vi xâm nhập và cài đặt mã độc

Sau khi chiếm được quyền truy cập, kẻ tấn công đã cấu hình một bộ tiếp nhận sao lưu độc hại và đặt các webshell định dạng JSP vào thư mục web của ứng dụng. Các lệnh đáng ngờ được phát hiện thực thi thông qua cbssvcX64.exe, tệp thực thi dịch vụ của AhsayCBS. Kỹ thuật này có nhiều điểm tương đồng với các cuộc tấn công z0Miner trước đây, trong đó webshell đóng vai trò duy trì quyền truy cập lâu dài.

Kẻ tấn công tiếp tục tải xuống các tệp tin độc hại bao gồm Taskgmr.ps1, edge.exe, msedge.exe và config.json từ một endpoint lưu trữ đối tượng trên Alibaba Cloud. Trong đó, tệp edge.exe thực chất là công cụ đào tiền ảo XMRig, còn msedge.exe là một bản sao đã bị sửa đổi của NSSM (Non-Sucking Service Manager) - một tiện ích hợp pháp dùng để duy trì các dịch vụ chạy ngầm.

Khuyến nghị phòng chống cho quản trị viên

Các tổ chức đang sử dụng phần mềm AhsayCBS cần ngay lập tức kiểm tra các tệp tin trong thư mục tạm (temp) cũng như các dịch vụ Windows mới được tạo trên hệ thống. Việc sử dụng certutil.exe để tải xuống các driver như WinRing0x64.sys được xem là dấu hiệu rõ ràng của hành vi xâm nhập trái phép nhằm tăng cường hiệu suất đào tiền ảo thông qua truy cập phần cứng cấp thấp.

Để bảo vệ hạ tầng công nghệ thông tin, quản trị viên nên nhanh chóng áp dụng các bản vá, rà soát lại toàn bộ hệ thống và tham khảo thêm thông tin chi tiết về các kỹ thuật tấn công tại cơ sở tri thức MITRE ATT&CK nhằm cập nhật kịp thời các quy tắc phát hiện cho hệ thống SIEM và EDR của đơn vị.