Se han aprovechado vulnerabilidades sin parchear de AhsayCBS para instalar webshells y minar criptomonedas

Ci­ber­de­lin­cuen­tes están apro­ve­chan­do fa­llos de se­gu­ri­dad sin co­rre­gir en la pla­ta­for­ma de ges­tión de co­pias de se­gu­ri­dad Ah­sayCBS para ins­ta­lar mi­ne­ros de crip­to­mo­ne­das y pa­sa­re­las web ma­li­cio­sas. Las agre­sio­nes de­tec­ta­das afec­ta­ron al menos a cinco en­ti­da­des y com­bi­nan fa­llas para sal­tar­se el con­trol de ac­ce­so y lo­grar la eje­cu­ción de co­man­dos en el sis­te­ma ope­ra­ti­vo.

Los in­ves­ti­ga­do­res des­cu­brie­ron que el pro­ble­ma per­sis­te en la ver­sión más re­cien­te del soft­wa­re. Para in­fil­trar­se, los ata­can­tes com­bi­nan una vul­ne­ra­bi­li­dad que per­mi­te omi­tir la au­ten­ti­ca­ción con otra des­ti­na­da a la in­yec­ción de có­di­go, lo que les fa­ci­li­ta efec­tuar ta­reas de re­co­no­ci­mien­to, ins­ta­lar he­rra­mien­tas de ac­ce­so y des­car­gar un mi­ne­ro de crip­to­mo­ne­das ca­mu­fla­do.

Para ase­gu­rar la per­ma­nen­cia del mi­ne­ro y ocul­tar su­plan­ta­cio­nes, los res­pon­sa­bles em­plean un ser­vi­cio mo­di­fi­ca­do y un script en Po­werShell que de­tie­ne la ac­ti­vi­dad cuan­do se abre el Ad­mi­nis­tra­dor de ta­reas. Ante la au­sen­cia de un par­che ofi­cial, se acon­se­ja li­mi­tar el ac­ce­so a la pla­ta­for­ma úni­ca­men­te a di­rec­cio­nes IP de con­fian­za, re­vi­sar po­si­bles in­di­cios de in­tru­sión y res­tau­rar los equi­pos desde co­pias se­gu­ras si se con­fir­ma el ata­que.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos de la bre­cha o res­pues­tas ofi­cia­les de la em­pre­sa afec­ta­da.