Khai thác lỗ hổng AhsayCBS để triển khai mã độc đào tiền ảo XMRig

Các nhà nghiên cứu an ninh mạng vừa phát hiện một chiến dịch tấn công nhắm vào tiện ích sao lưu AhsayCBS, nơi các tác nhân đe dọa tận dụng hai lỗ hổng bảo mật để chiếm quyền kiểm soát thiết bị, triển khai web shell và cài đặt mã độc đào tiền ảo XMRig.

Chi tiết về các lỗ hổng nghiêm trọng

Chiến dịch tấn công này khai thác hai lỗ hổng chính bao gồm CVE-2026-105133 (đạt điểm CVSS 5.5), là lỗi xác thực không đúng cách trong hàm checkSysPwd() thuộc thành phần com/ahsay/obs/api/ApiStructsAction.java. Lỗ hổng thứ hai là CVE-2026-105134 (đạt điểm CVSS 9.3), liên quan đến lỗi tiêm lệnh hệ điều hành trong thành phần Replication Receiver. Việc kết hợp hai lỗ hổng này cho phép kẻ tấn công từ xa vượt qua cơ chế xác thực và thực thi lệnh tùy ý với quyền hạn cao.

Chiến thuật tấn công và kỹ thuật né tránh

Sau khi chiếm quyền truy cập, kẻ tấn công thực hiện thu thập thông tin, cài đặt web shell và triển khai mã độc đào tiền ảo XMRig được ngụy trang dưới tên edge.exe. Đáng chú ý, chúng sử dụng một script PowerShell có sự hỗ trợ của AI để kiểm tra và đóng ứng dụng Task Manager nhằm tránh bị phát hiện bởi quản trị viên. Ngoài ra, trong một số trường hợp, kẻ tấn công tận dụng tiện ích certutil.exe để tải xuống driver dễ bị tổn thương WinRing0x64.sys vào thư mục TEMP nhằm đạt được quyền truy cập cấp nhân để tối ưu hóa hiệu suất đào tiền ảo.

Biện pháp phòng thủ và khuyến nghị

Để giảm thiểu rủi ro, các tổ chức cần hạn chế quyền truy cập vào giao diện quản lý web của AhsayCBS, chỉ cho phép các địa chỉ IP tin cậy hoặc kết nối qua VPN. Đồng thời, hệ thống cần được cập nhật lên phiên bản 10.3.4 hoặc mới nhất để vá các lỗ hổng đã xác định. Các quản trị viên cũng nên tăng cường giám sát các tiến trình lạ như edge.exe không thuộc thư mục Microsoft Edge và theo dõi sát sao các hoạt động thực thi script PowerShell bất thường.