Хакери почали компрометувати резервні сервери AhsayCBS, використовуючи дві вразливості: потрапляючи всередину, вони розгортають веб-оболонки та майнер XMRig. Дослідники Huntress спостерігали атаки, спрямовані на щонайменше п'ять організацій. Ситуація є особливо критичною, оскільки уражена версія AhsayCBS 10.3.4 — остання доступна версія, і наразі немає доступного виправлення.


Зловмисники використовують комбінацію двох недоліків. CVE-2026-105133 дозволяє обійти автентифікацію, а CVE-2026-105134 — впровадження команд операційної системи. У системах Windows зловмисник може виконувати команди віддалено з правами `NT AUTHORITY\SYSTEM`, що фактично є найвищим рівнем доступу.


Отримавши доступ, хакери спочатку досліджують сервер, а потім розгортають веб-оболонку для полегшення подальшого виконання команд. Далі вони завантажують майнер XMRig на машину для майнінгу Monero. Майнер перейменовують на `edge.exe`, щоб він зливався з файлами, схожими на компоненти Microsoft Edge.


Зловмисники також створюють службу під назвою «Microsoft EdgeUpdate Svc». Ця служба запускає `msedge.exe`, який, за даними Huntress, є модифікованою копією легітимної утиліти NSSM. Така конфігурація гарантує автоматичний запуск майнера та його збереження після перезавантаження системи. 

A dedicated PowerShell script named Taskgmr.ps1 monitors the Task Manager. When an administrator opens the system utility, the script halts mining operations; once the utility is closed, it resumes cryptocurrency mining. At night, the code can close the Task Manager if it remains open for an extended period. Huntress suspects that the attackers used generative AI to write the script, though this theory is currently based solely on the code's structure and comments.


In one of the investigated incidents, hackers also loaded a vulnerable driver, WinRing0x64.sys. Experts believe the attackers used it to grant the miner access to more hardware resources and boost Monero mining performance.


Initially, it was believed that two vulnerabilities affected AhsayCBS up to and including version 10.3.2, and that version 10.3.4 resolved the issue. Further analysis changed the picture: Huntress determined that version 10.3.4 is also susceptible to the attack. As of October 10, the developer had not yet released a secure version.


In the absence of an update, administrators are advised to remove the AhsayCBS management interface from the public internet and restrict access to trusted IP addresses. If a server may have already been compromised, Huntress recommends checking for signs of a breach and, if a compromise is confirmed, fully restoring the system from a clean backup. Simply removing the miner is insufficient, as the attackers may have left behind other methods to regain access to the server. AhsayCBS is used by managed IT service providers and system integrators for centralized backup management. Consequently, a compromised server provides an attacker with a far more valuable foothold than an ordinary infected computer, as backup configurations and access to client infrastructure pass through the system.