**AhsayCBS: две дыры, SYSTEM и майнер под маской Edge**
**AhsayCBS: две дыры, SYSTEM и майнер под маской Edge** Серверы резервного копирования AhsayCBS попали под атаки: цепочка из двух уязвимостей даёт обход входа и выполнение команд с правами `NT AUTHORITY\SYSTEM`. Патча нет даже для последней версии 10.3.4. Суть в комбинации двух багов. `CVE-2026-105133` позволяет обойти проверку подлинности, а `CVE-2026-105134` — внедрить команду ОС. В Windows это заканчивается удалённым выполнением кода почти с максимальными привилегиями. Huntress зафиксировала атаки минимум на пять организаций. Дальше сценарий типичный, но неприятный. Злоумышленник изучает сервер, оставляет веб-шелл для повторного доступа, а затем запускает XMRig для добычи Monero. Майнер маскируется под `edge.exe`, чтобы визуально теряться среди компонентов Microsoft Edge. Для автозапуска создаётся служба `MicrosoftEdgeUpdateSvc`, через неё стартует `msedge.exe`, внутри которого лежит изменённая копия легитимной утилиты NSSM. Так майнер переживает перезагрузку. Отдельный PowerShell-скрипт `Taskgmr.ps1` следит за Диспетчером задач. Администратор открывает утилиту — майнинг останавливается. Закрывает — добыча продолжается. Если Диспетчер задач висит открытым слишком долго, скрипт может закрыть его ночью. Huntress допускает, что код писался с помощью генеративного ИИ, но пока это только предположение по структуре и комментариям. В одном случае атакующие дополнительно загрузили уязвимый драйвер `WinRing0x64.sys` — вероятно, чтобы дать майнеру больше аппаратных ресурсов. Изначально считалось, что проблема затрагивает AhsayCBS до 10.3.2 включительно, а 10.3.4 её закрывает. Проверка показала: 10.3.4 тоже уязвима. На 10 октября безопасной версии от разработчика не было. Пока патча нет, панель AhsayCBS лучше убрать из открытого интернета и разрешить доступ только с доверенных IP. Если сервер мог быть скомпрометирован — искать следы взлома, а при подтверждении восстанавливать систему из чистой резервной копии. Просто удалить майнер недостаточно: у атакующего могут остаться другие точки возврата. 🛠 Мнение DevGeek.IT: Backup-сервер — это не просто хранилище, а ключ к инфраструктуре клиентов. Поэтому атака на AhsayCBS опаснее рядового майнера: через него можно дотянуться до чужих сетей. Маскировка под Edge и NSSM — дешёвый, но рабочий трюк. Пока вендор молчит, лучший «патч» — сетевой периметр, allowlist и паранойя. Если панель торчала в интернет, считайте сервер грязным, пока не докажете обратное.