AhsayCBS sotto attacco: exploit a catena installa XMRig “edge.exe” e spegne Task Manager per cryptojacking invisibile

Negli ultimi giorni sono stati osservati attacchi informatici che sfruttano vulnerabilità in AhsayCBS, una utility di backup usata in diversi ambienti aziendali. Gli aggressori stanno concatenando due falle per ottenere il controllo remoto dei sistemi esposti e avviare attività di post-exploitation come l’installazione di web shell e la distribuzione di miner XMRig per il cryptojacking.

Le vulnerabilità coinvolte includono un problema di autenticazione impropria nella funzione checkSysPwd e una vulnerabilità di command injection nel componente Replication Receiver. Combinate, permettono a un attaccante remoto di bypassare i controlli di accesso ed eseguire comandi arbitrari sul sistema bersaglio. Questo tipo di catena di exploit aumenta in modo significativo il rischio per i server che espongono l’interfaccia di gestione sul web, soprattutto se raggiungibile da Internet senza restrizioni.

Una volta ottenuto l’accesso, gli attori malevoli eseguono ricognizione, depositano web shell per mantenere persistenza e distribuiscono XMRig camuffandolo da processo legittimo. Un dettaglio critico è la scelta di rinominare il miner come edge.exe, in modo da imitare Microsoft Edge e ridurre la probabilità di essere notati durante controlli rapidi sui processi di Windows. In parallelo viene utilizzato uno script PowerShell, indicato come Taskgmr.ps1, avviato anche tramite curl, per facilitare le operazioni di mining e la gestione dei componenti installati.

Lo script integra controlli anti-analisi: interrompe il mining quando l’utente apre Windows Task Manager e, in alcune condizioni, tenta persino di chiudere Task Manager se rimane aperto troppo a lungo durante la notte. Questo comportamento evidenzia una strategia focalizzata sul rimanere invisibili e massimizzare l’uso delle risorse hardware compromesse.

Un ulteriore elemento osservato in almeno un incidente è l’uso di certutil.exe per scaricare un driver legittimo ma vulnerabile, WinRing0x64.sys, potenzialmente per ottenere accesso a basso livello e ottimizzare le prestazioni del mining. Sul fronte della mitigazione, è fondamentale limitare l’accesso all’interfaccia di gestione di AhsayCBS, consentendo solo IP fidati o imponendo l’uso di una VPN, oltre a cercare indicatori di compromissione come web shell, processi sospetti edge.exe e script PowerShell non autorizzati.