En un ataque notablemente audaz, actores maliciosos se dirigieron a los servidores que las empresas utilizan como copias de seguridad para protegerse ante ciberataques. Aunque las vulnerabilidades utilizadas ya fueron mitigadas, el ataque aún está activo para las plataformas afectadas, por lo que las organizaciones que emplean este método de respaldo deben aplicar las correcciones de inmediato y asegurar sus entornos.
AhsayCBS y el mayor riesgo de intrusión
En el núcleo de este incidente se encuentra la utilidad de respaldo Ahsay Cloud Backup Suite (AhsayCBS), una plataforma de gestión de copias de seguridad basada en servidor, desarrollada por la empresa homónima con sede en Hong Kong. Empresas, proveedores de servicios gestionados (MSP) y administradores de TI la utilizan para gestionar respaldos de dispositivos y clientes a través de servidores virtuales y físicos, bases de datos y diversos entornos de software.
Investigadores de seguridad, como Huntress, señalan que el 4 de octubre de 2026 se publicaron dos vulnerabilidades en AhsayCBS: CVE-2026-105113 (severidad media, afecta a la función checkSysPwd y puede conducir a una autenticación inadecuada) y CVE-2026-105134 (severidad crítica, afecta al componente Replication Receiver y podría permitir la ejecución remota de código no autenticada como NT AUTHORITY/SYSTEM en la unidad host).
Según los investigadores, la API contiene una sustitución de credenciales mediante un token aleatorio, lo que facilita la explotación para que un atacante configure un receptor malicioso y despliegue un webshell JSP en el directorio de la aplicación CBS. Tres días después, los actores comenzaron a explotar estas fallas: primero para eludir la autenticación y luego para obtener ejecución de código y desplegar webshells en sistemas expuestos. Estos webshells sirven principalmente como dropper para una variedad de ejecutables de segundo escenario.
Minería de criptomonedas y ocultamiento
Huntress también detectó que los atacantes desplegaron el minero XMRig, una pieza de software de código abierto utilizado para minar Monero y transferir las ganancias a billeteras de los atacantes. Monero se prefiere en ataques de minería no solicitada por su enfoque de privacidad y su dificultad para rastrear en la cadena de bloques.
Los atacantes ocultaron XMRig en estos servidores de respaldo, haciéndolo pasar por un proceso de Microsoft Edge y configurándolo como servicios de actualización falsos de Edge. Además, implementaron medidas para que pasara desapercibido ante revisiones: un script, aparentemente generado por IA, detiene el minero cuando se abre el Administrador de tareas y lo cierra nuevamente tras una hora.
Impacto y medidas recomendadas
Las copias de seguridad se consideran una de las protecciones más sólidas contra ataques de ransomware, y la comunidad de ciberseguridad recomienda desplegar y mantener controles estrictos sobre estas copias para evitar que estén desactualizadas o comprometidas. A pesar de ello, el hecho de que puedan ser vulneradas con relativa facilidad debe activar una alarma entre las organizaciones. Quienes fueron afectadas podrían considerarse afortunadas de haber recibido una infección por XMRig en lugar de un cifrado total por ransomware.
A fecha de 8 de octubre, Huntress reportó al menos cinco organizaciones atacadas, lo que subraya la urgencia de aplicar el parche proporcionado para AhsayCBS lo antes posible. Se indica que todas las versiones de la utilidad hasta la 10.3.4 están afectadas.
Medidas inmediatas recomendadas:
– Aplicar de inmediato los parches proporcionados por los desarrolladores y verificar que todas las instancias de AhsayCBS estén actualizadas.
– Restringir el acceso a la interfaz de gestión de AhsayCBS; limitar el acceso a direcciones IP confiables o exigir VPN.
– Si se detectan indicadores de compromiso (IoCs) mencionados, realizar una reimagen completa del host desde una copia de seguridad confiable, ya que los atacantes pueden haber dejado puertas traseras para persistencia prolongada.
– Reforzar la seguridad de los respaldos: separar entornos de administración, habilitar registros y monitoreo continuo, y realizar simulacros de recuperación para garantizar la integridad de las copias de seguridad.
Conclusión
La campaña demuestra que incluso las soluciones de respaldo, consideradas defensas críticas, pueden convertirse en vectores de intrusión. La combinación de autenticación debilitada, ejecución remota de código y métodos de ocultamiento subraya la necesidad de parches rápidos, segmentación de acceso y procedimientos de respuesta ante incidentes rigurosos para mitigar riesgos y restaurar la resiliencia operativa.
from Latest from TechRadar https://ift.tt/LSEh94N
via IFTTT IA
