Fallos de AhsayCBS explotados: proteja sus copias de respaldo

¿Qué hace difícil gestionar este incidente? El panorama de parches es confuso. Los reportes de Huntress y BleepingComputer indicaron que no había parche disponible al publicarse y que las afirmaciones anteriores de una corrección en la versión 10.3.2 no se sostuvieron, porque la versión más reciente, la 10.3.4, también es vulnerable. Otros reportes secundarios mencionan compilaciones con correcciones urgentes, pero no están confirmadas, por lo que las organizaciones deben verificar directamente con el fabricante antes de confiar en cualquier número de versión.

Eso deja a los equipos defensores en una posición conocida e incómoda: el sistema vulnerable está expuesto, existe un exploit público y la corrección del fabricante es incierta. Esperar un parche limpio no es un plan, porque la explotación ya está ocurriendo.

El patrón del ataque también muestra que la exposición es el verdadero problema. La interfaz de gestión de un servidor de respaldo rara vez necesita ser accesible desde todo internet, pero muchas lo son porque los administradores y proveedores quieren acceso remoto. Los escáneres automáticos encuentran estas consolas muy rápido. De aquí se desprenden tres lecciones:

• Las interfaces de gestión son superficie de ataque. Cualquier consola de administración accesible desde internet será probada en horas tras un exploit público.
• El software de respaldo no está exento de la disciplina de parcheo. Necesita el mismo inventario, monitoreo y seguimiento de vulnerabilidades que los firewalls y las VPN.
• Depender de la consola de un solo proveedor concentra el riesgo. Un fallo en una plataforma compartida puede afectar a todos los clientes que están detrás.

¿Cómo se desarrolla la cadena de ataque? Según el análisis de Huntress, la actividad sigue estos pasos:

1. Omisión de autenticación. El atacante abusa de CVE-2026-105133 para acceder a funciones administrativas sin credenciales válidas.
2. Ejecución de código como SYSTEM. Luego explota CVE-2026-105134 en el endpoint Replication Receiver, configurando un receptor malicioso para ejecutar comandos con los máximos privilegios en el equipo.
3. Web shell para persistir. Se deja una web shell JSP para que el atacante pueda volver aunque se cierre la vía original.
4. Descarga de cargas. Se obtienen archivos adicionales de un bucket de almacenamiento de objetos de Alibaba Cloud, entre ellos un criptominero XMRig con nombre que imita a Microsoft Edge, un gestor de servicios modificado y el controlador vulnerable WinRing0x64.sys, que los atacantes usan para exprimir más rendimiento del hardware.
5. Camuflaje. Un servicio llamado MicrosoftEdgeUpdateSvc ejecuta el minero como SYSTEM y un script de PowerShell lo detiene cuando el Administrador de tareas está abierto, para que los administradores no noten la carga de CPU.

Los equipos defensores pueden buscar varias señales claras: el nombre de servicio inesperado, el controlador WinRing0x64.sys en System32, conexiones salientes al pool de minería Kryptex por el puerto 8029, entradas desconocidas en la configuración de Replication Receiver y el proceso de AhsayCBS lanzando cmd.exe o PowerShell. Huntress ha publicado cuatro reglas Sigma para esta actividad.

El minero es la parte ruidosa. La parte silenciosa y más peligrosa es que el atacante mantiene un acceso de nivel SYSTEM dentro del sistema que almacena sus datos de recuperación.

¿Qué debe hacer hoy una empresa? Use esta lista de prioridades, que no depende de un parche del fabricante:

1. Saque la consola de gestión de internet. Restrinja el acceso a direcciones IP de confianza o exija una VPN o una puerta de enlace de confianza cero. Es el control provisional más eficaz y el mismo que recomienda Huntress.
2. Busque señales de compromiso. Revise todo servidor AhsayCBS que haya estado expuesto a internet desde el 7 de octubre en busca de los indicadores anteriores y revise las entradas de Replication Receiver para detectar adiciones que usted no hizo.
3. Reconstruya, no limpie. Si encuentra señales de compromiso, reinstale el equipo desde una base confiable, porque los atacantes pueden dejar puertas traseras secundarias, y rote todas las credenciales a las que la consola tuviera acceso.
4. Verifique sus copias de respaldo. Confirme que los conjuntos de respaldo estén íntegros y que al menos una copia sea inmutable o esté fuera de línea, para que una consola comprometida no pueda borrarla.
5. Confirme la corrección con el fabricante. Aplique una compilación corregida solo en servidores limpios, después de que el fabricante confirme por escrito que cierra ambos CVE.

Actuar sobre estos pasos ofrece beneficios concretos:

• Menor impacto del ransomware. Las copias a las que los atacantes no llegan convierten una caída en una restauración, en lugar de una decisión sobre pagar un rescate.
• Menor superficie de ataque. El acceso de gestión privado elimina toda una clase de escaneo a escala de internet.
• Detección más rápida. Cuando los servidores de respaldo envían registros a un SIEM, un servicio o controlador nuevo genera una alerta en minutos.
• Mejor postura de auditoría y de seguros. Las aseguradoras de ciberriesgo y los reguladores exigen cada vez más copias inmutables y restauraciones probadas.

HIT Communications acompaña a las empresas desde hace más de 30 años en Latinoamérica, Estados Unidos y Europa. Nuestro equipo de ciberseguridad ofrece monitoreo SOC 24/7, SIEM y detección y respuesta gestionadas, de modo que señales como un servicio desconocido en un servidor de respaldo se investigan en lugar de ignorarse.

Nuestros servicios gestionados de TI cubren respaldo en la nube, parcheo, endurecimiento de configuraciones y pruebas de restauración, con copias inmutables separadas de los sistemas que atacan los delincuentes. Para el acceso administrativo privado, nuestra conectividad multioperador y SD-WAN gestionada coloca las interfaces de gestión detrás de enlaces controlados y redundantes en lugar de internet abierto.

Si usted utiliza AhsayCBS o cualquier consola de respaldo accesible desde fuera de su red, nuestros ingenieros pueden revisar su exposición, buscar los indicadores descritos aquí y entregarle un plan de remediación priorizado.

Los fallos de AhsayCBS son un recordatorio de que los sistemas de respaldo son hoy un objetivo principal y no un asunto secundario seguro. Dos vulnerabilidades encadenadas dan a un atacante sin autenticar acceso SYSTEM, la explotación comenzó pocos días después de la divulgación y el estado de la corrección seguía siendo poco claro en los reportes disponibles al momento de escribir.

La respuesta duradera no es un único parche. Es acceso de gestión privado, monitoreo activo, copias de respaldo verificadas e inmutables y un proceso de reconstrucción ensayado. Las organizaciones que hacen esto se recuperan de incidentes como este en horas y no en semanas.

Si desea ayuda para evaluar la exposición de sus respaldos, contacte a HIT Communications y hable con nuestro equipo sobre cómo proteger su infraestructura de recuperación.