AhsayCBS sob ataque: falhas críticas podem comprometer servidores de backup
Servidores que executam o AhsayCBS estão sendo alvo de ataques que combinam duas vulnerabilidades para contornar a autenticação e executar comandos no sistema operacional. A atividade identificada inclui a instalação de webshells e ferramentas de mineração de criptomoedas, além da criação de mecanismos para manter o acesso ao equipamento.
As primeiras tentativas foram observadas na noite de 7 de outubro de 2026, no horário UTC. Até o dia seguinte, pelo menos cinco organizações haviam sido atingidas, segundo os dados da investigação. O caso merece atenção especial de provedores de serviços gerenciados e integradores, pois uma única instância do AhsayCBS pode administrar backups de vários clientes.
Duas falhas permitem chegar à execução de comandos
A cadeia de ataque envolve as vulnerabilidades CVE-2026-105133 e CVE-2026-105134. A primeira permite contornar verificações de autenticação em uma função da API do AhsayCBS. Embora tenha recebido pontuação CVSS 5,5, ela pode servir como etapa inicial para alcançar recursos mais sensíveis.
A segunda falha afeta o Replication Receiver, componente responsável por operações de replicação, e possibilita a injeção de comandos no sistema operacional. Sua pontuação CVSS 4.0 é 9,3, classificação considerada crítica. Em conjunto, as vulnerabilidades permitem que um invasor sem autenticação válida avance até a execução de comandos, inclusive com privilégios elevados em ambientes Windows.
Nos incidentes analisados, os atacantes gravaram uma webshell JSP em uma estrutura acessível pela aplicação. Esse tipo de arquivo pode oferecer uma forma de acesso remoto persistente. Por isso, a ausência de problemas aparentes nas rotinas de backup não significa que o servidor esteja limpo ou seguro.
A versão 10.3.4 não deve ser considerada correção definitiva
As informações sobre as versões afetadas mudaram durante a investigação. Inicialmente, registros públicos indicavam que a versão 10.3.4 corrigia as falhas encontradas em edições até a 10.3.2. Porém, uma revisão posterior apontou que a 10.3.4 também continuava vulnerável.
Diante dessa divergência, atualizar para a versão 10.3.4, por si só, não deve ser tratado como garantia de proteção. As organizações precisam confirmar diretamente com o fabricante qual correção foi validada e acompanhar as orientações mais recentes. Enquanto isso, a prioridade é reduzir a exposição do console: restringir o acesso à interface administrativa e, se necessário, interromper temporariamente sua disponibilidade pública.
Mineração e mecanismos de persistência
Após obter a execução de comandos, os invasores usaram processos associados ao serviço `cbssvcX64.exe` para iniciar utilitários do Windows e baixar arquivos externos. Alguns componentes foram armazenados em diretórios temporários. A relação entre um processo filho e o serviço de backup, isoladamente, não confirma um ataque, mas deve ser investigada quando aparece junto de downloads incomuns, arquivos recentes ou alterações de configuração.
Entre os artefatos identificados estava o XMRig, ferramenta legítima de mineração de criptomoedas que pode ser abusada para consumir recursos de máquinas comprometidas. Na campanha, o programa foi renomeado para `edge.exe`. Outro arquivo, `msedge.exe`, era uma versão modificada do NSSM, utilitário usado para manter programas em execução. Os atacantes também criaram um serviço chamado `MicrosoftEdgeUpdateSvc`, cujo nome se assemelha ao de serviços legítimos de atualização.
A investigação encontrou ainda o script PowerShell `Taskgmr.ps1`, projetado para observar a abertura do Gerenciador de Tarefas. Quando a ferramenta ficava visível, o script suspendia o serviço de mineração e podia retomá-lo depois; em determinadas situações, tentava fechar o próprio Gerenciador. Em um dos casos, também foi identificado o download do driver vulnerável `WinRing0x64.sys`, usado para ampliar o acesso ao hardware e favorecer a mineração.
Esses nomes são indicadores úteis, mas não devem ser a única base da busca: arquivos maliciosos podem ser renomeados. A análise precisa considerar caminhos, hashes, parâmetros, conexões de rede e relações entre processos.
Como reduzir o risco agora
O console do AhsayCBS não deve ficar aberto irrestritamente à internet. O acesso administrativo deve ser limitado a uma VPN ou a redes confiáveis, com filtros por endereço de origem sempre que possível. Também é recomendável revisar quem tem permissão para administrar a plataforma e reduzir privilégios ao mínimo necessário.
A investigação de possíveis invasões deve abranger logs da aplicação e do Windows, conexões de saída e processos iniciados pelo `cbssvcX64.exe`. Procure webshells JSP, executáveis novos em pastas temporárias, serviços instalados ou alterados recentemente, tarefas agendadas e scripts PowerShell suspeitos. Downloads inesperados e uso anormal de recursos também podem ajudar a identificar atividade maliciosa.
Autenticação multifator, segmentação entre o console de gerenciamento e os repositórios de backup e alertas para criação de serviços ou tráfego de saída incomum reforçam a defesa. Em provedores gerenciados, é importante mapear quais clientes dependem de cada instância e preparar uma resposta coordenada caso um servidor seja comprometido.
O que fazer se houver sinais de comprometimento
Se houver indícios de invasão, interromper o minerador não é suficiente: uma webshell ou outro mecanismo de persistência pode continuar permitindo o acesso. Isole o servidor da rede, preserve logs e evidências e só então inicie as ações de contenção. Revise contas, credenciais e chaves usadas pelo serviço; redefina o que possa ter sido exposto e procure outros serviços, arquivos ou tarefas suspeitas.
Quando não for possível garantir a integridade do sistema, reconstruí-lo a partir de uma imagem confiável pode ser mais seguro do que tentar remover cada componente malicioso. Depois da recuperação, confirme que o acesso remoto indevido foi eliminado e mantenha o servidor sob monitoramento reforçado.
Também é necessário avaliar o possível impacto sobre os clientes administrados pela instância. Verifique a integridade dos repositórios, procure alterações ou exclusões não autorizadas e confirme se há cópias offline ou imutáveis. Testes de restauração ajudam a demonstrar que os backups continuam utilizáveis – um ponto essencial, já que cópias acessíveis ao mesmo invasor que controla o servidor de gerenciamento podem não oferecer proteção suficiente.
A capacidade de executar comandos no servidor representa um risco que vai além da mineração: pode facilitar o roubo de informações, a sabotagem de backups, a implantação de ransomware ou a movimentação para outras redes. Por isso, restrição de acesso, validação da correção com o fabricante e investigação de possíveis sinais de execução não autorizada devem ser tratadas como prioridades, mesmo quando o AhsayCBS parece funcionar normalmente.