Atacantes han sido observados explotando dos vulnerabilidades recientemente descubiertas en la utilidad de respaldo AhsayCBS para tomar control de los dispositivos afectados y desplegar web shells (puertas traseras web que permiten el control remoto del servidor) junto con mineros de criptomonedas XMRig. Estos mineros se camuflan astutamente como el navegador Microsoft Edge, dificultando su detección. Los esfuerzos de explotación de estas fallas comenzaron el 7 de octubre de 2026, con al menos cinco organizaciones ya afectadas para el 8 de octubre del mismo año.
Las fallas de seguridad identificadas son CVE-2026-105133 (puntuación CVSS v4: 5.5), una vulnerabilidad de autenticación impropia, y CVE-2026-105134 (puntuación CVSS v4: 9.3), una inyección de comandos del sistema operativo. Un atacante remoto puede encadenar ambas vulnerabilidades para evadir la autenticación y ejecutar comandos arbitrarios en los sistemas comprometidos. Aunque los identificadores CVE fueron publicados el 4 de octubre de 2026, la firma de ciberseguridad Huntress ha revelado que incluso la versión más reciente del software (10.3.4) está impactada, convirtiéndolas en vulnerabilidades de día cero o zero-day.
Una vez dentro, los actores de amenazas realizan reconocimiento, establecen web shells y despliegan los criptomineros XMRig, que se hacen pasar por el ejecutable ‘edge.exe’ para pasar desapercibidos. También se ha detectado el uso de un script de PowerShell (Taskgmr.ps1), aparentemente asistido por inteligencia artificial, diseñado para monitorear el Administrador de Tareas de Windows y detener la actividad de minería o cerrar la aplicación si permanece abierta por demasiado tiempo. Además, en al menos un incidente, se utilizó el binario legítimo certutil.exe para descargar un controlador vulnerable (WinRing0x64.sys), probablemente para obtener acceso a nivel de kernel y optimizar el proceso de minería.
Dada la ausencia de un parche disponible para estas vulnerabilidades zero-day, se recomienda a los usuarios limitar el acceso a la interfaz de gestión de AhsayCBS. Es crucial restringir el acceso web a dicha interfaz únicamente a direcciones IP de confianza o exigir el uso de una VPN para cualquier conexión. Asimismo, es fundamental realizar una búsqueda proactiva de cualquier indicio de compromiso en los sistemas.
Qué significa para tu empresa: Este incidente subraya la criticidad de mantener una vigilancia constante sobre la infraestructura y la importancia de la detección temprana de amenazas sofisticadas. La implementación de un SOC con monitoreo 24/7 es esencial para identificar actividades anómalas, como la ejecución de procesos disfrazados o la manipulación de herramientas legítimas, permitiendo una respuesta rápida ante ataques que buscan evadir las defensas tradicionales.
Fuente original: The Hacker News — ver artículo →