Введение: когда бэкапы начинают майнить криптовалюту

Современный ландшафт кибербезопасности устроен так, что злоумышленники ищут наиболее уязвимые, но критически важные точки инфраструктуры. Долгое время внимание администраторов было приковано к периметру сети, шлюзам и рабочим станциям. Однако практика показывает, что вспомогательные системы — например, серверы резервного копирования — всё чаще становятся главными мишенями для киберпреступников.

Недавнее исследование компании Huntress обнародовало тревожную тенденцию: хакеры активно эксплуатируют уязвимости в программном обеспечении Ahsay Cloud Backup Suite (AhsayCBS). Используя свежие эксплойты, злоумышленники проникают в инфраструктуру, закрепляются с помощью веб-шеллов и превращают мощные серверы бэкапа в скрытые майнеры Monero. Для маскировки вредоносных процессов используется имя легитимного браузера msedge.exe. В этой статье мы разберем анатомию этой атаки и методы защиты.

Анатомия атаки: эксплуатация AhsayCBS

Платформа AhsayCBS (Ahsay Cloud Backup Suite) — это популярное серверное решение для управления резервным копированием, используемое предприятиями и поставщиками управляемых услуг (MSP). Высокая вычислительная мощность и привилегированный доступ таких серверов сделали их идеальной целью для криптоджекинга (хотя сисадмины наверняка предпочли бы, чтобы серверы тратили ресурсы на проверку целостности архивов, а не на крипту).

Атака строится вокруг двух критических уязвимостей, раскрытых в октябре 2026 года:

  • CVE-2026-105113: Уязвимость функции проверки системных паролей checkSysPwd, приводящая к обходу аутентификации.
  • CVE-2026-105134: Критическая брешь в компоненте Replication Receiver, позволяющая выполнять удаленный код (RCE) без аутентификации с правами NT AUTHORITY\SYSTEM.

Скорость реакции злоумышленников поражает: эксплуатация началась всего через 72 часа после публикации бюллетеней безопасности. Автоматизированные боты сканируют интернет в поисках незапатченных инстансов AhsayCBS.

Закрепление в системе и маскировка под Microsoft Edge

После получения привилегий SYSTEM злоумышленники загружают на сервер шелл-скрипты и веб-шеллы для поддержания постоянного доступа (persistence). Следующий шаг — развертывание скрытого майнера криптовалюты XMR (Monero).

Чтобы не привлекать внимание системных администраторов в диспетчере задач, вредоносное ПО переименовывается и маскируется под системные процессы. Хакеры используют имя известного браузера:

# Пример типичного запуска скрытого майнера в скомпрометированной среде
msedge.exe --config=pool_config.json --donate-level=1

Такой подход позволяет вредоносной нагрузке долгое время оставаться незамеченной, потребляя вычислительные ресурсы процессора в фоновом режиме.

Как защитить инфраструктуру резервного копирования

Инциденты с AhsayCBS демонстрируют, что серверы бэкапов требуют такого же уровня мониторинга и защиты, как и основные рабочие зоны компании. Для минимизации рисков рекомендуется выполнить следующие шаги:

  1. Своевременное обновление: Установите актуальные патчи безопасности для AhsayCBS и всего вспомогательного ПО.
  2. Сетевая изоляция: Ограничьте доступ к серверам резервного копирования из интернета. Используйте VPN или выделенный контур управления.
  3. Контроль запущенных процессов: Настройте EDR-решения на детектирование аномалий (например, когда процесс msedge.exe запускается на серверной ОС без графической оболочки).
  4. Аудит учетных записей: Регулярно проверяйте права доступа и историю входов в систему.

Заключение

Криптоджекинг часто воспринимается как относительно безобидная угроза по сравнению с программами-вымогателями. Однако заражение серверов резервного копирования означает, что злоумышленники уже имеют полный контроль над критиче