Actores maliciosos están explotando dos vulnerabilidades en la utilidad de respaldo AhsayCBS para evadir la autenticación, ejecutar comandos remotamente y comprometer los sistemas afectados.
Según Huntress, los ataques permiten desplegar web shells e instalar mineros de criptomonedas XMRig, disfrazados como Microsoft Edge, además de utilizar scripts de PowerShell para dificultar la detección.
La actividad maliciosa comenzó el 7 de octubre de 2026 y, al día siguiente, se habían identificado cinco organizaciones afectadas. Las vulnerabilidades CVE-2026-105133 y CVE-2026-105134 corresponden a fallos de autenticación e inyección de comandos, respectivamente, y también se reportó que la versión 10.3.4 de AhsayCBS podría seguir siendo vulnerable.
A continuación, compartimos los Indicadores de Compromiso (IoC) para ser agregados a las herramientas de seguridad perimetral.
EL ATAQUE
El ataque contra AhsayCBS comienza mediante la explotación encadenada de dos vulnerabilidades que permiten eludir la autenticación y ejecutar comandos arbitrarios de forma remota en los sistemas afectados.
Una vez obtenido el acceso, los atacantes realizan tareas de reconocimiento, despliegan web shells para mantener el control del sistema e instalan mineros de criptomonedas XMRig, camuflados como el proceso legítimo edge.exe de Microsoft Edge.
Además, utilizan un script de PowerShell que supervisa el Administrador de tareas de Windows y lo cierra para dificultar la detección de la actividad minera. En algunos incidentes, también se identificó la descarga de un controlador vulnerable mediante certutil.exe, posiblemente para obtener acceso a nivel de núcleo y optimizar la minería.
