Pesquisadores observaram threat actors explorando duas falhas divulgadas recentemente no utilitário de backup AhsayCBS para assumir o controle de dispositivos vulneráveis e instalar scripts de acesso remoto pela web e mineradores de criptomoedas XMRig.
As falhas são:
•
CVE-2026-105133
, com pontuação 5,5 no CVSS v4: falha de autenticação na função checkSysPwd(), no componente “com/ahsay/obs/api/ApiStructsAction.java”.
•
CVE-2026-105134
, com pontuação 9,3 no CVSS v4: falha que permite a injeção de comandos do sistema operacional no componente Replication Receiver.
Um invasor remoto pode combinar as duas vulnerabilidades para contornar a autenticação e executar comandos arbitrários nos sistemas afetados. Os identificadores CVE dessas falhas só foram divulgados em 04/10/2026.
Segundo a Huntress, as tentativas de exploração começaram em 07/10/2026, às 23h20 UTC. Threat actors ainda não identificados usaram as falhas para executar código remotamente nos equipamentos afetados. Até 08/10/2026, estima-se que cinco organizações tenham sido atingidas.
“Depois de comprometer os sistemas, os threat actors fazem reconhecimento, instalam scripts de acesso remoto pela web, implantam mineradores de criptomoedas XMRig disfarçados de Microsoft Edge e realizam outras ações”, afirmou a empresa de cibersegurança. “Eles também instalaram o que parece ser um script de PowerShell criado com auxílio de IA. Ele monitora o Gerenciador de Tarefas do Windows e o fecha se permanecer aberto por muito tempo durante a madrugada.”
Os mineradores de criptomoedas se passam pelo navegador Microsoft Edge e usam o nome “edge.exe” para tentar não chamar atenção. Os invasores também instalaram um script de PowerShell chamado “Taskgmr.ps1”, que inicia operações de mineração de criptomoedas após ser baixado com o curl.
O script, aparentemente escrito com auxílio de uma ferramenta de IA, inclui verificações para evitar análise. A atividade de mineração é interrompida assim que a vítima abre o Gerenciador de Tarefas do Windows. O script também está configurado para fechar o Gerenciador de Tarefas às 18h caso ele tenha permanecido aberto por mais de uma hora durante a madrugada.
Embora os avisos publicados no Banco de Dados Nacional de Vulnerabilidades (NVD) indiquem que os problemas foram corrigidos na versão mais recente do software, a 10.3.4, a Huntress informou que essa versão também é afetada. Na prática, isso significa que as falhas continuam sendo zero-days.
Em pelo menos um incidente, os threat actors teriam usado o arquivo “certutil.exe”, incluído no sistema, para baixar para a pasta TEMP um driver legítimo, mas vulnerável, chamado “WinRing0x64.sys”. A ação provavelmente buscava obter acesso ao hardware subjacente no nível do kernel e otimizar a mineração.
Enquanto não houver um patch, recomenda-se limitar o acesso à interface de gerenciamento e procurar sinais de comprometimento.
“As organizações devem restringir o acesso pela web à interface de gerenciamento do AhsayCBS, já que o exploit tem como alvo o serviço de aplicativo web acessível externamente no equipamento”, afirmou a Huntress. “O acesso deve ser limitado a endereços IP confiáveis ou exigir uma VPN.”
Publicidade
Exclusivo para leitores do CaveiraTech, de R$ 89 por R$ 49/mês, para sempre. Hospedado em São Paulo com AntiDDoS, backup grátis e BGP grátis. Use Linux, Windows ou BSDs. Valide seu projeto agora sem dor de cabeça, sem IOF e com pagamentos via Pix. Ativação em 120s. Saiba mais...