Resumo para quem decide

Duas vulnerabilidades no AhsayCBS (Cloud Backup Server), o console de gerenciamento do software de backup da Ahsay usado principalmente por MSPs e integradores de sistemas, estão sendo exploradas ativamente desde 7 de outubro de 2026. A cadeia de ataque combina CVE-2026-105133 (bypass de autenticação) com CVE-2026-105134 (execução remota de código crítica) e permite que um atacante sem credenciais tome controle total do servidor, com privilégios de NT AUTHORITY/SYSTEM.

A Huntress, que identificou e documentou os ataques, contou cinco organizações visadas até 8 de outubro de 2026. Não existe correção eficaz até o momento: as falhas constam como corrigidas na versão 10.3.2, mas a Huntress constatou que a 10.3.4, a mais recente, continua vulnerável. A BleepingComputer contatou a Ahsay sobre planos de correção e não obteve resposta até a publicação da reportagem.

Se sua empresa ou seus clientes usam AhsayCBS, a ação imediata é restringir o acesso à interface de gerenciamento a IPs confiáveis ou exigir VPN, e verificar os indicadores de comprometimento listados mais abaixo. Como o AhsayCBS é software de backup, um comprometimento aqui não ameaça só o servidor: pode comprometer a última linha de defesa contra ataques de ransomware.

O que são as vulnerabilidades CVE-2026-105133 e CVE-2026-105134

As duas CVEs foram divulgadas pelo NVD em 4 de outubro de 2026 e afetam o AhsayCBS, o console de gerenciamento central do produto de backup em nuvem da Ahsay. Nenhuma das fontes que documentaram os ataques, Huntress e BleepingComputer, informou nota CVSS numérica para as falhas, apenas classificações textuais de severidade.

Bypass de autenticação na função checkSysPwd (CVE-2026-105133)

A Huntress classifica essa falha como de severidade média. Ela afeta a função checkSysPwd, no arquivo com/ahsay/obs/api/ApiStructsAction.java, e permite contornar a autenticação do sistema. Segundo a BleepingComputer, já existe exploit público para essa vulnerabilidade.

Execução remota de código crítica no Replication Receiver (CVE-2026-105134)

Essa é classificada pela Huntress como crítica. Ela afeta o endpoint /rps/api/json/UpdateReceivers.do, do componente Replication Receiver do AhsayCBS, e permite execução remota de código sem autenticação prévia, com privilégios de NT AUTHORITY/SYSTEM. O problema de fundo é que a API aceita um token aleatório no lugar de credenciais válidas, o que por si só já configura um bypass de autenticação.

Isoladas, as duas falhas já seriam preocupantes. Combinadas, elas formam uma cadeia completa de comprometimento sem necessidade de nenhuma credencial válida, um lembrete de que avaliar cada CVE isoladamente, pela severidade de uma delas, pode subestimar o impacto real quando duas falhas se encaixam em sequência.

Como os atacantes exploram o AhsayCBS na prática

Do bypass de autenticação à execução de código como SYSTEM

O ataque é direcionado ao serviço de aplicação web exposto externamente, ou seja, a própria interface de gerenciamento do AhsayCBS. O fluxo observado pela Huntress é direto: primeiro a CVE-2026-105133 é usada para contornar a autenticação, depois a CVE-2026-105134 é explorada para obter execução de código. Não é necessária nenhuma credencial prévia, o que caracteriza uma execução remota de código não autenticada completa.

Nos ambientes comprometidos, a Huntress observou comandos suspeitos sendo gerados a partir do processo legítimo cbssvcX64.exe, o executável de serviço do próprio AhsayCBS, confirmando que a exploração parte do próprio software de backup.

Webshells e persistência disfarçada de atualização do Microsoft Edge

Em alguns incidentes, os atacantes implantaram webshells em formato .jsp diretamente no diretório da aplicação web servida pelo CBS, imediatamente após a exploração bem-sucedida.

Em outros casos, o processo cbssvcX64.exe gerou uma série de comandos para baixar arquivos para a pasta %TEMP% (ou ../AppData/Local/Temp), hospedados em hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com. Os arquivos baixados incluem Taskgmr.ps1, msedge.exe, edge.exe e config.json.

A partir daí, o edge.exe, disfarçado de Microsoft Edge, é na verdade o minerador de criptomoeda XMRig, que se conecta na porta 8029 a um pool de Monero (xmr.kryptex[.]network, no IP 51.195.127[.]124). Antes de ativar o minerador, os atacantes usam PowerShell para modificar o config.json na pasta Temp e criam um serviço do Windows chamado MicrosoftEdgeUpdateSvc, configurado para rodar msedge.exe com privilégios SYSTEM diretamente da pasta Temp, imitando o serviço legítimo de atualização do Edge.

O arquivo msedge.exe, apesar do nome, não é o navegador: é uma cópia modificada do utilitário legítimo NSSM (Non-Sucking Service Manager), usada para manter o minerador edge.exe em execução e reiniciá-lo automaticamente em caso de falha.

Em pelo menos um incidente, os atacantes usaram o utilitário nativo do Windows certutil.exe para baixar WinRing0x64.sys, hospedado no mesmo domínio de distribuição de payloads. Esse é um driver de kernel legítimo, mas vulnerável, da biblioteca WinRing0 (OpenLibSys), que fornece acesso de baixo nível ao hardware. Diferente de outros ataques em que esse mesmo driver é usado para desabilitar ferramentas de segurança, neste caso ele aparenta ter sido usado para dar ao minerador acesso de hardware em nível de kernel e maximizar seu desempenho.

O script PowerShell com evasão “assistida por IA”

Um dos detalhes mais notáveis da campanha é o script Taskgmr.ps1. Segundo a Huntress, os comentários dentro do código sugerem que ele foi escrito com assistência de inteligência artificial. Sua função é simples, mas eficaz: o script verifica continuamente se o Gerenciador de Tarefas do Windows está aberto. Se estiver, ele para o serviço MicrosoftEdgeUpdateSvc para esconder a atividade de mineração de quem está olhando os processos em execução. Quando o Gerenciador de Tarefas é fechado, o serviço é reiniciado.

O script também encerra automaticamente o Gerenciador de Tarefas às 18h no horário local do host, ou se ele permanecer aberto por mais de uma hora durante a madrugada, usando sempre o horário local (via Get-Date) em vez de UTC. É uma tática simples de evasão. A atribuição à IA é uma leitura da Huntress a partir dos comentários do código, não uma confirmação, mas é coerente com o uso cada vez mais comum dessas ferramentas para produzir scripts operacionais.

Por que uma falha no software de backup é especialmente perigosa

Software de backup normalmente ocupa uma posição privilegiada na rede: precisa de acesso amplo aos dados que protege e, muitas vezes, roda com permissões elevadas para conseguir fazer seu trabalho. Quando esse software vira ponto de entrada para atacantes, o problema é duplo. Primeiro, o atacante ganha um ponto de apoio com privilégios altos, como ficou claro aqui, com execução como NT AUTHORITY/SYSTEM. Segundo, e mais grave, a própria camada que deveria permitir recuperação depois de um incidente pode estar comprometida.

Isso é particularmente relevante para a segurança de backups na mitigação de ataques ransomware: se o atacante que compromete o AhsayCBS tiver acesso aos backups armazenados, ele pode apagá-los, criptografá-los ou alterá-los antes de lançar um ataque de ransomware na rede principal, eliminando a rota de recuperação da vítima. Casos como o do ransomware DeepBlueMagic, que apaga as cópias de sombra do Windows para impedir a restauração, já mostraram como operações de ransomware miram os mecanismos de recuperação.

Há ainda um ângulo de cadeia de fornecimento. Como o AhsayCBS é usado principalmente por MSPs, uma falha nesse software não expõe só quem o opera diretamente: o servidor comprometido é o mesmo que gerencia os backups dos clientes desse MSP. As fontes não relatam acesso a dados de clientes nesta campanha, mas a posição do servidor é o que torna o risco maior. É o mesmo padrão de risco discutido em ataques à cadeia digital de fornecedores: comprometer um único fornecedor de infraestrutura pode abrir caminho para as organizações que dependem dele.

Vulnerabilidades no AhsayCBS sem patch: como se proteger agora

Indicadores de comprometimento e regras de detecção (Sigma) publicadas pela Huntress

A Huntress publicou uma lista de indicadores de comprometimento associados à campanha. Entre os principais:

• Domínio de hospedagem de payloads: hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com/javas/Office/win/, de onde são baixados Taskgmr.ps1, edge.exe, msedge.exe, config.json e WinRing0x64.sys.
• Pool de mineração: xmr.kryptex[.]network:8029, com usuário krxYMRN97D/creativejs.
• IP do pool de mineração: 51.195.127[.]124:8029.
• IPs de infraestrutura adicional reportados em origens geográficas variadas, incluindo Hong Kong, Vietnã, França, Taiwan e Estados Unidos.
• Hashes SHA256 específicos para msedge.exe (o NSSM modificado), edge.exe (o minerador) e Taskgmr.ps1 (o script PowerShell), publicados integralmente pela Huntress.

Além dos indicadores, a Huntress disponibilizou quatro regras Sigma no caminho 2026/2026-10/AhsayCBS_XMRig_Miner do repositório de threat-intel da empresa, que detectam:

1. Processo filho inesperado originado a partir do serviço AhsayCBS (cbssvcX64.exe ou cbssvcX86.exe).
2. Execução do binário falso de “Edge” com a flag --daemonized ou com nome de arquivo original msedge_exe.
3. Bloco de script PowerShell que verifica o Gerenciador de Tarefas e para/inicia um serviço em resposta.
4. Download do driver WinRing0 via linha de comando, acompanhado de uma URL.

Se qualquer um desses indicadores for encontrado em um host, a recomendação da Huntress é tratar o caso como comprometimento confirmado e fazer a reimagem completa do host a partir de um backup confiável e seguro, já que os atacantes podem ter instalado backdoors adicionais para persistência de longo prazo, além do minerador e das webshells já identificados.

Checklist de hardening para MSPs que usam AhsayCBS

Enquanto não existe uma correção eficaz confirmada pela Ahsay, a verificação de versão instalada não é suficiente, já que a própria 10.3.4, a mais recente disponível, segue vulnerável segundo a Huntress. As ações recomendadas são:

• Restringir o acesso à interface de gerenciamento do AhsayCBS apenas a endereços IP confiáveis, ou exigir conexão via VPN antes de permitir qualquer acesso à aplicação web.
• Não expor a interface de gerenciamento diretamente à internet pública sem controle de acesso adicional.
• Procurar na telemetria de processos (EDR, Sysmon ou evento 4688 do Windows) processos filhos inesperados gerados por cbssvcX64.exe ou cbssvcX86.exe.
• Procurar pela presença de arquivos .jsp não reconhecidos no diretório da aplicação web do CBS.
• Verificar a existência do serviço MicrosoftEdgeUpdateSvc configurado para rodar binários a partir da pasta Temp, em vez do caminho legítimo de instalação do Edge.
• Checar conexões de rede de saída para 51.195.127[.]124:8029 ou xmr.kryptex[.]network.
• Implementar as quatro regras Sigma publicadas pela Huntress nas ferramentas de monitoramento disponíveis.
• Acompanhar comunicados da Ahsay sobre uma eventual correção definitiva para as duas vulnerabilidades.

Perguntas frequentes

O AhsayCBS já tem uma versão corrigida para essas vulnerabilidades?
Não. As falhas constam como corrigidas na 10.3.2, mas a Huntress confirmou que a 10.3.4, a versão mais recente, também é vulnerável às duas. A BleepingComputer informou que a Ahsay não respondeu a pedidos de comentário sobre planos de correção até a publicação da reportagem.

É preciso ter credenciais válidas para explorar essas falhas?
Não. A cadeia de exploração combina um bypass de autenticação (CVE-2026-105133) com uma execução remota de código (CVE-2026-105134) que, juntas, resultam em execução de código sem nenhuma autenticação prévia, com privilégios de NT AUTHORITY/SYSTEM.

Como sei se meu servidor AhsayCBS já foi comprometido?
Verifique a presença dos indicadores de comprometimento divulgados pela Huntress, como o domínio imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com, conexões para xmr.kryptex[.]network:8029, o serviço MicrosoftEdgeUpdateSvc e os hashes dos arquivos msedge.exe, edge.exe e Taskgmr.ps1. A presença de qualquer um desses itens indica comprometimento.

O que fazer se eu encontrar algum desses indicadores no meu ambiente?
A recomendação da Huntress é realizar a reimagem completa do host a partir de um backup confiável e seguro, já que os atacantes podem ter implantado mecanismos adicionais de persistência além do minerador e das webshells identificadas.

Essa campanha tem ligação com algum grupo de ransomware ou ator de ameaça conhecido?
Nem a Huntress nem a BleepingComputer atribuem os ataques a um grupo ou ator específico. A atividade pós-exploração observada até agora concentra-se em mineração de criptomoeda via XMRig, não em criptografia de dados.

Os indicadores completos, com hashes, estão no relatório da Huntress. A cobertura da BleepingComputer está em Unpatched AhsayCBS flaws exploited to deploy webshells, mine crypto.