黑客将企业备份服务器沦为加密矿机，恶意软件伪装成 Microsoft Edge

在一场手法大无畏的黑客攻击中，安全人员发现威胁行为者正瞄准企业用于防范网络攻击的数据备份服务器。

此次攻击利用的漏洞已得到修复，但由于攻击目前仍在持续，使用这种特定备份方法的组织被敦促立即应用补丁并加强安全防护。

AhsayCBS 备份工具

本次事件的核心是一款名为 Ahsay Cloud Backup Suite（或简称 AhsayCBS）的备份工具，它是由一家同名的香港公司开发的服务器端备份管理平台。

Latest Videos FromTechRadarWatch full video here:

企业、托管服务提供商（MSP）和 IT 管理员利用它来管理跨各类虚拟和物理服务器、数据库及不同软件环境的设备与客户端备份。该工具在 IT 服务提供商中应用广泛，主要用于管理客户数据。

安全研究人员Huntress指出，2026 年 10 月 4 日，AhsayCBS 的两个漏洞被公开披露：CVE-2026-105113 和 CVE-2026-105134。前者是影响 checkSysPwd 函数的中危漏洞，可能导致身份验证不当。后者是影响 Replication Receiver 组件的严重漏洞，可能导致以 NT AUTHORITY/SYSTEM 身份在未经验证的情况下执行远程代码。

研究人员解释道：“该 API 存在身份验证绕过机制，攻击者可能用随机令牌替代有效凭证。利用此漏洞后，威胁行为者配置了一个恶意接收器，并在 CBS 应用程序服务的目录中植入了一个 Java 服务器页面（JSP）网页壳（webshell）。”

仅仅三天后，威胁行为者便开始利用这些漏洞——先用第一个漏洞绕过身份验证，再用第二个漏洞获取代码执行权限，并在暴露的系统上部署网页壳。这些网页壳主要充当投递器（dropper），用于投放一系列第二阶段可执行文件。

加密货币挖矿

Huntress 还发现攻击者部署了一款名为 XMRig 的流行挖矿程序。它本是一个合法的开源矿工，利用电脑的硬件、电力和网络来挖掘 Monero 币，并将收益存入攻击者的钱包。

Monero 之所以成为恶意挖矿的首选货币，是因为它主打隐私保护，很难在区块链上被追踪。

攻击者想方设法在备份服务器上隐藏 XMRig：把它伪装成 Microsoft Edge 进程，并作为假的 Edge 更新服务安装，还确保它在有人查看时自动隐藏。

一个脚本（显然是 AI 写的）会在任务管理器打开时立即关闭挖矿程序，并在一小时后自动关闭任务管理器。

备份被视为抵御勒索软件攻击最有力的手段之一。几乎所有网络安全机构和行业意见领袖都建议企业部署备份，并定期维护和检查，以确保备份不过期、不损坏。如今备份竟能被相对轻松地攻陷，这足以令人警惕。遭攻击的企业算是幸运，只中了个 XMRig 挖矿木马，而不是完整的勒索软件加密器。

话虽如此，Huntress 表示，截至 10 月 8 日，已有至少五家组织遭到攻击。因此，所有使用 AhsayCBS 的组织都应尽快安装官方补丁。据悉，10.3.4 及之前的所有版本均受影响。

除了打补丁，组织还应限制 AhsayCMS 管理界面的 Web 访问，因为该漏洞针对的是主机上可被外部访问的 Web 应用服务。Huntress 表示：“访问应仅限于可信 IP 地址，或要求通过 VPN。如果发现了本博客列出的任何 IoC，企业应从可信备份对主机进行完整重装，因为攻击者可能已植入用于长期驻留的备用后门。”

---

适合各种预算的最佳杀毒软件

➡️ 阅读我们的完整指南，了解最佳杀毒软件
1. 综合最佳：
Bitdefender Total Security
2. 家庭用户最佳：
Norton 360 with LifeLock
3. 移动端最佳：
McAfee Mobile Security

---