Что произошло с AhsayCBS
9 октября 2026 года появились подробности атак на AhsayCBS (Cloud Backup Server) — систему централизованного управления резервным копированием, которую используют в том числе сервис-провайдеры и системные интеграторы.
По наблюдениям исследователей, эксплуатация уязвимостей началась 7 октября 2026 года. К 8 октября атаки затронули как минимум пять организаций в наблюдаемой ими выборке. Это не означает, что всего пострадали только пять компаний.
Какие уязвимости используют злоумышленники
В атаках используется цепочка из двух проблем безопасности:
- CVE-2026-105133 — ошибка проверки подлинности, помогающая обойти защиту доступа.
- CVE-2026-105134 — критическая ошибка в компоненте Replication Receiver, позволяющая выполнять команды на уязвимом сервере.
В результате злоумышленник может получить удалённое выполнение команд с привилегиями NT AUTHORITY\SYSTEM. Для администратора это означает риск полного компрометирования сервера, на котором работает AhsayCBS.
Что делают после взлома
В зафиксированных инцидентах злоумышленники размещали JSP-веб-шеллы, скачивали дополнительные файлы и запускали майнер XMRig. Вредоносные исполняемые файлы маскировались под компоненты Microsoft Edge.
Также использовалась подозрительная служба MicrosoftEdgeUpdateSvc и PowerShell-скрипт Taskgmr.ps1. Последний отслеживал запуск диспетчера задач и временно останавливал майнинг, чтобы скрыть нагрузку на сервер.
Какие версии AhsayCBS под угрозой
По уточнённым данным исследователей, уязвимы версии AhsayCBS вплоть до 10.3.4 включительно. Ранние сообщения о том, что обновление до 10.3.4 устраняет проблему, оказались ошибочными.
Что проверить системному администратору
1. Ограничить доступ к веб-интерфейсу
Проверьте, доступен ли интерфейс AhsayCBS из интернета. Если доступ требуется извне, ограничьте его VPN или списком доверенных IP-адресов. Правила нужно применять на межсетевом экране или другом сетевом уровне, не нарушая работу заданий резервного копирования.
2. Проверить подозрительные службы
На Windows-сервере можно выполнить команду PowerShell от имени администратора:
Get-CimInstance Win32_Service -Filter "Name='MicrosoftEdgeUpdateSvc'" |
Select-Object Name, State, StartName, PathNameЕсли служба обнаружена, проверьте путь к исполняемому файлу, его происхождение и время создания. Не удаляйте её без предварительного анализа.
3. Проверить процессы, маскирующиеся под Edge
Get-CimInstance Win32_Process |
Where-Object { $_.Name -in @('edge.exe', 'msedge.exe') } |
Select-Object ProcessId, ParentProcessId, Name, ExecutablePath, CommandLineОсобое внимание уделите файлам, запускаемым из временных каталогов, а также необычным дочерним процессам службы AhsayCBS. Для расследования сохраняйте журналы и артефакты до очистки.
4. Проверить возможность восстановления
Убедитесь, что резервные копии доступны независимо от потенциально скомпрометированного сервера управления. Проверьте изолированные или неизменяемые копии и выполните тестовое восстановление в отдельной среде.
Что делать при обнаружении признаков взлома
Изолируйте подозрительный сервер, сохраните данные для расследования и проверьте учётные записи, через которые выполнялось управление резервным копированием. Если компрометация подтверждена, безопаснее восстановить сервер из доверенного образа, а не ограничиваться удалением найденного майнера.
Итог
Атаки на AhsayCBS показывают, что сервер резервного копирования сам может стать точкой входа злоумышленников. Пока исправление не подтверждено, главное — закрыть ненужный доступ к интерфейсу, проверить индикаторы компрометации и убедиться, что резервные копии можно восстановить без участия потенциально заражённого сервера.