Khai thác lỗ hổng AhsayCBS để triển khai mã độc đào tiền ảo XMRig

• Lỗ hổng nghiêm trọng: Hai lỗ hổng CVE-2026-105133 và CVE-2026-105134 cho phép kẻ tấn công vượt qua xác thực và thực thi mã từ xa (RCE).
• Chiến dịch tấn công: Kẻ tấn công triển khai web shell và mã độc đào tiền ảo XMRig ngụy trang dưới tên 'edge.exe'.
• Dấu hiệu nhận biết: Sử dụng script PowerShell hỗ trợ bởi AI để giám sát và vô hiệu hóa Task Manager nhằm duy trì hoạt động đào tiền ảo.
• Khuyến nghị: Hạn chế quyền truy cập vào giao diện quản lý AhsayCBS thông qua VPN hoặc danh sách IP tin cậy.

Các nhà nghiên cứu an ninh mạng vừa phát hiện một chiến dịch tấn công nhắm vào tiện ích sao lưu AhsayCBS, nơi các tác nhân đe dọa đang tận dụng hai lỗ hổng bảo mật mới được công bố để chiếm quyền kiểm soát thiết bị, triển khai web shell và cài đặt mã độc đào tiền ảo XMRig. Các lỗ hổng này, vốn chưa có mã định danh CVE cho đến ngày 4 tháng 10 năm 2026, đã nhanh chóng bị vũ khí hóa để thực hiện các cuộc tấn công RCE.

Phân tích kỹ thuật các lỗ hổng bảo mật

Dựa trên các báo cáo kỹ thuật, hai lỗ hổng được xác định bao gồm:

• CVE-2026-105133 (CVSS 5.5): Lỗ hổng xác thực không đúng cách trong hàm checkSysPwd() thuộc thành phần com/ahsay/obs/api/ApiStructsAction.java.
• CVE-2026-105134 (CVSS 9.3): Lỗ hổng tiêm lệnh hệ điều hành (OS Command Injection) trong thành phần Replication Receiver.

Việc kết hợp hai lỗ hổng này cho phép kẻ tấn công từ xa vượt qua cơ chế xác thực và thực thi các lệnh tùy ý với quyền hạn cao trên hệ thống bị ảnh hưởng. Mặc dù nhà cung cấp đã phát hành bản vá trong phiên bản 10.3.4, việc khai thác vẫn diễn ra mạnh mẽ trên các hệ thống chưa cập nhật.

Chiến thuật tấn công và triển khai mã độc

Sau khi chiếm được quyền truy cập, kẻ tấn công thực hiện các bước hậu khai thác (post-exploitation) bao gồm thu thập thông tin hệ thống (reconnaissance), cài đặt web shell và triển khai mã độc đào tiền ảo XMRig. Đáng chú ý, mã độc được ngụy trang dưới tên edge.exe để đánh lừa người dùng và các công cụ giám sát hệ thống.

Kẻ tấn công còn sử dụng một script PowerShell (Taskgmr.ps1) được cho là có sự hỗ trợ của công cụ AI. Script này có khả năng kiểm tra sự hiện diện của Windows Task Manager và tự động đóng ứng dụng này nếu nó được mở trong thời gian dài vào ban đêm, nhằm tránh bị phát hiện bởi quản trị viên.

# Ví dụ về cơ chế giám sát của script Taskgmr.ps1 (giả lập)Get-Process | Where-Object {$_.ProcessName -eq 'Taskmgr'} | Stop-Process -Force

Phân tích chỉ số IOCs và kỹ thuật né tránh

Trong một số trường hợp, kẻ tấn công sử dụng tiện ích hệ thống certutil.exe để tải xuống driver hợp lệ nhưng dễ bị tổn thương WinRing0x64.sys vào thư mục TEMP. Kỹ thuật này (BYOVD - Bring Your Own Vulnerable Driver) giúp kẻ tấn công đạt được quyền truy cập cấp nhân (kernel-level) để tối ưu hóa hiệu suất đào tiền ảo.

Loại thực thể	Giá trị / Chỉ số	Mô tả tác động
CVE	CVE-2026-105133	Vượt qua xác thực
CVE	CVE-2026-105134	Tiêm lệnh hệ điều hành (RCE)
Mã độc	XMRig (edge.exe)	Đào tiền ảo trái phép
Script	Taskgmr.ps1	Né tránh giám sát

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Để bảo vệ hệ thống trước các cuộc tấn công này, các tổ chức cần thực hiện ngay các biện pháp sau:

• Hạn chế truy cập: Giới hạn quyền truy cập vào giao diện quản lý web của AhsayCBS, chỉ cho phép các địa chỉ IP tin cậy hoặc yêu cầu kết nối qua VPN.
• Cập nhật phần mềm: Nâng cấp lên phiên bản 10.3.4 hoặc mới nhất để vá các lỗ hổng đã xác định.
• Giám sát hệ thống: Theo dõi các tiến trình lạ như edge.exe không nằm trong thư mục cài đặt Microsoft Edge và các script PowerShell thực thi từ thư mục TEMP.
• Săn tìm mối đe dọa: Kiểm tra các tệp tin log của hệ thống để tìm kiếm các dấu hiệu truy cập bất thường vào các API của AhsayCBS.

Các chuyên gia an ninh mạng nhấn mạnh rằng việc duy trì khả năng hiển thị bề mặt tấn công là yếu tố then chốt để ngăn chặn các cuộc xâm nhập tương tự trong tương lai.