备份的管理台被打穿了

安世加

2026年10月10日 18:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

新闻

News Today

一个专门打备份系统的零日，已经开始在野利用了，而目前最新版本依然中招，厂商还没有补丁。受影响的是 AhsayCBS——一套集中式的云备份服务器管理控制台，主要客户是托管服务商（MSP）和系统集成商。10月7日深夜开始，至少5家组织的系统被攻陷，攻击者拿到的不是普通权限，是 Windows 上的 SYSTEM。

这是已经在打、而且你修不了的那种。漏洞有两个，编号 CVE-2026-105133 和 CVE-2026-105134。前者是认证绕过，出在 checkSysPwd 函数里，攻击者可以用一个随机 token 顶替掉合法凭证；后者在 Replication Receiver 组件的 UpdateReceivers.do 接口，能直接拿到未认证的远程代码执行，权限是 NT AUTHORITY/SYSTEM。单独看一个是中危、一个是严重，但攻击者是把两个串起来用：先用前者拆掉登录这道门，再用后者在服务器上跑命令。

10月4日 NVD 披露漏洞，当时说 10.3.2 及以下受影响；10月7日 23:20:15 UTC 起 Huntress 观察到在野利用；10月8日下午，Huntress 更新结论——最新版 10.3.4 同样存在这两个洞，修复版本不存在。

后利用的手法值得细看，因为它说明攻击者不是随便打一枪就走。拿到 SYSTEM 权限之后，他们先侦察，然后往 Web 应用目录里丢 JSP webshell——这一步比挖矿重要得多，webshell 意味着即使你把挖到的矿机删了，攻击者还有一条路能回来。接着是从阿里云的对象存储下载一堆载荷：XMRig 挖矿程序改名成 edge.exe，配套的 msedge.exe 其实是把正常的 NSSM 工具改了名，用一个叫 MicrosoftEdgeUpdateSvc 的 Windows 服务伪装成\"微软 Edge 更新\"来维持开机自启。

最有点意思的是一段 PowerShell 脚本 Taskgmr.ps1。它会盯着任务管理器——你打开它就暂停挖矿，关掉就继续，到下午6点或者凌晨开着超过一小时还会直接把任务管理器杀掉。Huntress 认为这段脚本\"疑似 AI 辅助生成\"，依据是它注释写得异常完整，但这是评估不是定论，别当成实锤。另外至少一起入侵里，攻击者还加载了 WinRing0x64.sys 这个合法但存在漏洞的内核驱动（BYOVD 手法），目的是给矿机解锁更多硬件资源。

真正要命的地方在于被攻破的是哪里。 备份服务器的管理台，控制着整个备份策略、存储和用户。攻击者在这里拿到管理员权限，等于摸到了企业灾难恢复能力的开关——真出事的时候，你可能发现恢复用的那套系统本身已经不干净了。更别提 MSP 场景：一个托管服务商被拿下，下游可能是一批客户企业。管理平面被攻破的影响从来不止一台机器。

该做的动作不多，但都得马上做。先把 AhsayCBS 的管理界面从公网收回来——限制成只允许受信 IP 访问，或者走 VPN，因为攻击打的就是这个对外暴露的 Web 服务。然后拿 Huntress 公开的 IOC 和 4 条 Sigma 规则排查：异常 JSP 文件、cbssvcX64.exe 拉起的可疑子进程、仿冒 Edge 更新的服务、非常规端口的外连。如果确认被入侵，别只删矿机，直接从可信备份整机重建，因为对方有 webshell 和额外的持久化手段，修补现有环境不足以保证干净；重建时还要确认那份备份的时间点早于入侵，并把备份服务器能碰到的凭证全部换一遍。

最后留一句判断：这次的攻击者目前表现出的目标是挖矿，不是加密勒索，受害者数量也不算多。但这不该让你松口气——一个无需账号、能拿 SYSTEM、最新的正式版本还堵不上、短期内大概率没有官方补丁的洞，摆在互联网上的备份管理台上，攻击面就是全世界。会挖矿的人会把你当矿机，会勒索的人只会把你的备份当筹码。同一个洞，换一批人用，后果完全不一样。

来源：Huntress 官方博客

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

安世加为出海企业提供SOC 2、ISO 27001、PCI DSS、TrustE认证咨询服务（点击图片可详细查看）