AhsayCBS får nya hotfixar efter angrepp mot backupservrar
Tidigare säkerhetsuppdateringar för backupplattformen AhsayCBS åtgärdade inte två sårbarheter fullt ut. Det meddelade Ahsay den 12 oktober, efter att angrepp mot plattformen hade observerats. Beskedet gäller de tidigare uppdateringarna 9.15.2.59 och 10.3.4.0. AhsayCBS används framför allt av it-tjänsteleverantörer och systemintegratörer för att samla administrationen av säkerhetskopiering, bland annat användarhantering och inställningar för backup. Hotet berör därmed organisationer och leverantörer som använder produkten för central backuphantering. Angreppen riktas mot plattformens administrativa tjänst och kan ge angriparen möjlighet att köra kod på servern med SYSTEM-behörighet.
Säkerhetsföretaget Huntress beskriver hur två sårbarheter kombineras för att ta sig in på exponerade servrar. CVE-2026-105133 används först för att kringgå autentiseringen och CVE-2026-105134 därefter för kodexekvering. Huntress började observera angreppen den 8 oktober svensk tid och hade samma dag sett fem organisationer som måltavlor. I de observerade angreppen installerades bland annat JSP-webbskal och kryptomineraren XMRig, maskerad som Microsoft Edge. Angriparna skapade också en Windows-tjänst med namnet MicrosoftEdgeUpdateSvc, som liknar namnet på Microsofts uppdateringstjänst för Edge. Tjänsten körde en modifierad kopia av verktyget NSSM med SYSTEM-behörighet. Huntress bedömer att verktyget användes för att hålla kryptomineraren igång och få den att starta igen efter avbrott eller omstart.
För berörda installationer i version 10 anger Ahsay nu hotfix 10.3.4.45. För berörda installationer i version 7, 8 och 9 är motsvarande hotfix 9.15.2.70. Leverantören uppmanar användarna att installera rätt hotfix och därefter starta om servern. Åtkomsten till hotfixarna kräver ett giltigt konto i partnerportalen. Enligt Huntress blockerar hotfix 10.3.4.45 angreppskedjans första åtkomstväg, som fortfarande var öppen i tidigare version 10-utgåvor. Företaget hade tidigare angett att version 10.3.4 inte var sårbar, men ändrade den uppgiften den 8 oktober. I väntan på en fungerande uppdatering rekommenderade Huntress att åtkomsten till administrationsgränssnittet begränsades till betrodda IP-adresser och att miljön undersöktes efter tecken på intrång.
Internationell varning om datastölder och äldre serversårbarheter
FBI, CISA, NSA och internationella partner publicerade den 8 oktober en gemensam varning om intrång och datastölder som myndigheterna kopplar till det kinesiska företaget Integrity Technology Group. Enligt brittiska NCSC:s redogörelse för varningen har företaget möjliggjort angrepp mot organisationer världen över, även inom kritiska sektorer. Myndigheterna beskriver automatiserad skanning, lösenordssprayning mot Microsoft Exchange, beständig åtkomst via VPN och stöld av e-post och autentiseringsuppgifter. NCSC uppger att verksamheten kombinerar AI-verktyg, stora botnät och manuell exploatering. Den beskrivna aktiviteten överensstämmer enligt myndigheten med kampanjer som bland annat är kända under namnen Flax Typhoon, Ethereal Panda och Red Juliett. Kopplingen till företaget och dessa kampanjer är myndigheternas bedömning.
Varningen dokumenterar framgångsrik exploatering av fem äldre sårbarheter: CVE-2015-5477 i ISC BIND, CVE-2016-3081 i Apache Struts, CVE-2023-22894 i Strapi, CVE-2021-3199 i ONLYOFFICE DocumentServer och CVE-2015-3306 i ProFTPD. Sårbarheterna har också lagts till i CISA:s katalog över kända exploaterade sårbarheter, KEV. Veckans utveckling är alltså varningen och den dokumenterade exploateringen av äldre säkerhetsbrister, inte att fem nya sårbarheter har upptäckts. För verksamheter som använder de berörda serverprodukterna är exponerade tjänster och äldre sårbara installationer den konkreta beröringspunkten. NCSC uppmanar organisationer att sätta sig in i de beskrivna angreppsteknikerna och följa skyddsåtgärderna i den gemensamma varningen.
Samma dag offentliggjorde USA:s justitiedepartement och FBI beslag av infrastruktur för verktygen MicroScan och FishHub. Enligt de offentliggjorda domstolshandlingarna utvecklade och använde Integrity Technology Group MicroScan för att kartlägga sårbarheter i nätverk, bland annat med hjälp av ett botnät av infekterade internetanslutna enheter. Bland måltavlorna för skanningen fanns ett amerikanskt elbolag, japanska och polska flygplatser samt taiwanesiska företag inom gas- och elförsörjning. FishHub beskrivs i handlingarna som ett verktyg för riktat nätfiske som efter ett första intrång laddade ned ytterligare skadlig kod. Den kunde ge obehörig fjärråtkomst eller söka efter och föra ut utvalda filer till servrar som kontrollerades av Integrity Technology Group. Omkring 20 taiwanesiska universitet uppges vara bekräftade offer för FishHub-aktivitet. Beslagen är enligt justitiedepartementet den andra offentliggjorda tekniska insatsen för att störa företagets intrångsinfrastruktur, efter en insats mot dess botnät 2024.
