Atores de ameaças cibernéticas foram observados explorando duas vulnerabilidades recém divulgadas no utilitário de backup AhsayCBS, tomando controle de dispositivos e instalando mineradores de criptomoeda XMRig disfarçados como o navegador Microsoft Edge. A atividade foi identificada por pesquisadores de segurança que monitoram campanhas de malware em escala global, e já resultou em comprometimento de múltiplos ambientes corporativos.
A descoberta das falhas ocorreu em meados de 2026, quando a equipe de desenvolvimento da AhsayCBS publicou alertas de segurança detalhando as vulnerabilidades e disponibilizando correções. Entre os problemas apontados, destaca‑se a vulnerabilidade CVE-2026-105133, classificada com pontuação 5, 5 no CVSS v4, que decorre de autenticação inadequada na função checkSysPwd() do arquivo "com/ahsay/obs/api/ApiStructsAction.java". Esse cenário permite que agentes externos contornem mecanismos de verificação e obtenham privilégios de administrador sem credenciais válidas.
Até o momento, a exploração tem atingido principalmente empresas que utilizam a solução de backup para proteger dados críticos, sobretudo em setores de serviços financeiros e de saúde. Os invasores aproveitam o acesso obtido para implantar web shells que facilitam a execução de comandos remotos, e em seguida carregam o minerador XMRig, configurado para se apresentar como o navegador Microsoft Edge a fim de evitar a detecção por ferramentas de segurança convencionais. Essa estratégia de camuflagem eleva a dificuldade de identificação, pois o tráfego parece originado de um processo legítimo.
Do ponto de vista técnico, a vulnerabilidade CVE-2026-105133 permite que um atacante envie requisições ao endpoint vulnerável sem a necessidade de autenticação prévia, explorando a falta de validação de senha do sistema. Uma vez dentro, o invasor pode subir privilégios e criar arquivos de web shell em diretórios acessíveis ao serviço de backup. Esses shells servem como ponto de apoio para a execução de scripts que baixam e configuram o minerador XMRig, que é programado para usar recursos de CPU e GPU dos servidores comprometidos, gerando Monero de forma clandestina. A escolha do nome "Microsoft Edge" no processo ajuda a mascarar o consumo de recursos, já que administradores podem associar o uso de memória ao navegador em vez de a uma atividade de mineração.
Para mitigar o risco, especialistas recomendam a aplicação imediata dos patches lançados pelos desenvolvedores da AhsayCBS, bem como a revisão de políticas de autenticação e a implementação de monitoramento de integridade de arquivos críticos. Organizações devem ainda reforçar a segmentação de rede, limitando o acesso ao serviço de backup apenas a hosts autorizados, e adotar soluções de detecção de comportamento que identifiquem padrões de mineração incomuns. A fonte original da informação foi o portal The Hacker News, que destacou a necessidade de resposta rápida para evitar a propagação de novos agentes maliciosos.