Hackers estão invadindo servidores usados por empresas para proteger seus dados e instalando programas de mineração de criptomoedas. O alvo é o Ahsay Cloud Backup Suite (AhsayCBS), plataforma de gerenciamento de backups afetada por duas falhas de segurança.
Segundo a empresa de cibersegurança Huntress, pelo menos cinco organizações foram atingidas até 8 de outubro de 2026. Os ataques começaram três dias após a divulgação pública das vulnerabilidades.
Falhas abriram caminho para as invasões
Desenvolvido por uma empresa de Hong Kong, o AhsayCBS é usado por equipes de TI e provedores de serviços para gerenciar cópias de segurança de servidores, bancos de dados e outros ambientes corporativos.
As vulnerabilidades CVE-2026-105113 e CVE-2026-105134 foram divulgadas em 4 de outubro. A primeira, de gravidade média, permite contornar mecanismos de autenticação. A segunda, considerada crítica, possibilita executar códigos remotamente, sem autenticação, com privilégios de sistema na máquina afetada.
Três dias depois, os criminosos começaram a explorar as brechas. Segundo a Huntress, eles configuraram um receptor malicioso e instalaram um webshell no diretório da aplicação. Esse recurso permite executar comandos remotamente e instalar outros programas no servidor.
Em sua análise, os pesquisadores explicaram que a falha de autenticação permite que um token aleatório substitua credenciais válidas. Depois de explorar a vulnerabilidade, os invasores conseguiram implantar o código malicioso na aplicação.
Malware se disfarça de Microsoft Edge
Entre os programas identificados está o XMRig, um minerador legítimo de código aberto que usa os recursos computacionais da máquina para minerar Monero. Nos ataques, a atividade ocorre sem autorização, e as criptomoedas obtidas são destinadas às carteiras dos criminosos.
A Monero tem recursos de privacidade que dificultam o rastreamento das transações, característica que favorece seu uso em atividades de mineração não autorizada.
Para esconder o programa, os invasores fizeram o XMRig parecer um processo do Microsoft Edge e criaram serviços falsos de atualização do navegador. Um script também interrompe a mineração quando alguém abre o Gerenciador de Tarefas e fecha a ferramenta após uma hora. Segundo os pesquisadores, o código aparentemente foi escrito com auxílio de inteligência artificial.
O episódio expõe uma fragilidade importante: servidores usados para recuperar dados após ataques também podem ser comprometidos. Se os invasores mantiverem acesso a essas máquinas, a remoção do minerador pode não ser suficiente para eliminar a ameaça.
Como reduzir o risco
A Huntress informou que todas as versões do AhsayCBS até a 10.3.4 são afetadas. A empresa recomenda que as organizações adotem medidas para corrigir as falhas e impedir acessos indevidos.
- Atualizar o AhsayCBS: instalar a correção indicada pelo fornecedor para eliminar as vulnerabilidades.
- Limitar o acesso administrativo: permitir conexões apenas de endereços IP confiáveis ou exigir o uso de VPN.
- Investigar possíveis invasões: verificar os indicadores de comprometimento (IoCs) identificados pelos pesquisadores.
- Reinstalar servidores afetados: reconstruir o sistema a partir de uma imagem confiável caso haja sinais de comprometimento.
A Huntress alerta que os invasores podem deixar mecanismos adicionais para manter o acesso aos servidores. Por isso, quando houver indícios de invasão, a recomendação é reconstruir o sistema a partir de uma fonte confiável, em vez de apenas remover o minerador.
Valdir Antonelli é jornalista com especialização em marketing digital e consumo.
