Falhas do AhsayCBS exploradas: proteja seus backups agora

Como a cadeia de ataque se desenrola? Com base na análise da Huntress, a atividade segue estes passos:

1. Desvio de autenticação. O invasor abusa da CVE-2026-105133 para acessar funções administrativas sem credenciais válidas.
2. Execução de código como SYSTEM. Em seguida explora a CVE-2026-105134 no endpoint Replication Receiver, configurando um receptor malicioso para executar comandos com os maiores privilégios no host.
3. Web shell para persistência. Uma web shell JSP é deixada para que o invasor possa voltar mesmo que o caminho original seja fechado.
4. Download de cargas. Arquivos adicionais são baixados de um bucket de armazenamento de objetos da Alibaba Cloud, incluindo um criptominerador XMRig com nome que imita o Microsoft Edge, um gerenciador de serviços modificado e o driver vulnerável WinRing0x64.sys, que os invasores usam para extrair mais desempenho do hardware.
5. Disfarce. Um serviço chamado MicrosoftEdgeUpdateSvc executa o minerador como SYSTEM e um script PowerShell o interrompe quando o Gerenciador de Tarefas está aberto, para que os administradores não percebam a carga de CPU.

As equipes de defesa podem procurar vários sinais claros: o nome de serviço inesperado, o driver WinRing0x64.sys em System32, conexões de saída para o pool de mineração Kryptex na porta 8029, entradas desconhecidas na configuração do Replication Receiver e o processo do AhsayCBS iniciando cmd.exe ou PowerShell. A Huntress publicou quatro regras Sigma para essa atividade.

O minerador é a parte barulhenta. A parte silenciosa e mais perigosa é que o invasor mantém um acesso em nível SYSTEM dentro do sistema que guarda seus dados de recuperação.

O que uma empresa deve fazer hoje? Use esta lista de prioridades, que não depende de um patch do fabricante:

1. Tire o console de gerenciamento da internet. Restrinja o acesso a endereços IP confiáveis ou exija uma VPN ou um gateway de confiança zero. É o controle provisório mais eficaz e o mesmo recomendado pela Huntress.
2. Procure sinais de comprometimento. Verifique todo servidor AhsayCBS que esteve exposto à internet desde 7 de outubro em busca dos indicadores acima e revise as entradas do Replication Receiver para achar adições que você não fez.
3. Reconstrua, não limpe. Se encontrar sinais de comprometimento, reinstale o host a partir de uma base confiável, pois os invasores podem deixar backdoors secundárias, e troque todas as credenciais que o console podia acessar.
4. Verifique seus backups. Confirme que os conjuntos de backup estão íntegros e que pelo menos uma cópia é imutável ou está offline, para que um console comprometido não possa apagá-la.
5. Confirme a correção com o fabricante. Aplique uma build corrigida somente em servidores limpos, depois que o fabricante confirmar por escrito que ela fecha as duas CVEs.

Agir sobre esses passos traz benefícios concretos:

• Menor impacto do ransomware. Backups que os invasores não alcançam transformam uma paralisação em uma restauração, em vez de uma decisão sobre pagar resgate.
• Menor superfície de ataque. O acesso de gerenciamento privado elimina toda uma classe de varredura em escala de internet.
• Detecção mais rápida. Quando os servidores de backup enviam logs a um SIEM, um novo serviço ou driver gera um alerta em minutos.
• Melhor postura de auditoria e de seguro. Seguradoras de risco cibernético e reguladores exigem cada vez mais cópias imutáveis e restaurações testadas.

A HIT Communications atende empresas há mais de 30 anos na América Latina, nos Estados Unidos e na Europa. Nossa equipe de cibersegurança oferece monitoramento SOC 24/7, SIEM e detecção e resposta gerenciadas, de modo que sinais como um serviço desconhecido em um servidor de backup são investigados em vez de ignorados.

Nossos serviços gerenciados de TI cobrem backup em nuvem, aplicação de patches, reforço de configurações e testes de restauração, com cópias imutáveis separadas dos sistemas que os criminosos atacam. Para o acesso administrativo privado, nossa conectividade multioperadora e SD-WAN gerenciada coloca as interfaces de gerenciamento atrás de links controlados e redundantes em vez da internet aberta.

Se você usa o AhsayCBS ou qualquer console de backup acessível de fora da sua rede, nossos engenheiros podem revisar sua exposição, procurar os indicadores descritos aqui e entregar um plano de remediação priorizado.

As falhas do AhsayCBS lembram que os sistemas de backup são hoje um alvo principal, e não um assunto secundário seguro. Duas vulnerabilidades encadeadas dão a um invasor não autenticado acesso SYSTEM, a exploração começou poucos dias após a divulgação e o status da correção continuava incerto nos relatos disponíveis no momento da redação.

A resposta duradoura não é um único patch. É acesso de gerenciamento privado, monitoramento ativo, backups verificados e imutáveis e um processo de reconstrução ensaiado. As organizações que fazem isso se recuperam de incidentes como este em horas, e não em semanas.

Se quiser ajuda para avaliar a exposição dos seus backups, fale com a HIT Communications e converse com nossa equipe sobre como proteger sua infraestrutura de recuperação.