Hackers têm invadido servidores corporativos, visando roubar dados e instalando softwares de mineração de criptomoedas. O principal alvo desses ataques é a plataforma Ahsay Cloud Backup Suite (AhsayCBS), que foi afetada por duas vulnerabilidades de segurança distintas.
De acordo com a empresa de cibersegurança Huntress, pelo menos cinco organizações foram comprometidas até o dia 8 de outubro de 2026. Os ataques começaram apenas três dias após a divulgação pública dessas falhas de segurança.
O AhsayCBS, desenvolvido por uma companhia sediada em Hong Kong, é amplamente utilizado por equipes de TI e prestadores de serviços para administrar cópias de segurança de bancos de dados, servidores e outros ambientes empresariais.
As vulnerabilidades CVE-2026-105113 e CVE-2026-105134 foram tornadas públicas em 4 de outubro. A primeira falha, classificada como de gravidade média, permite burlar os mecanismos de autenticação. Já a segunda, considerada crítica, possibilita a execução remota de códigos sem necessidade de autenticação, concedendo privilégios de sistema na máquina atacada.
Três dias após a revelação, os criminosos iniciaram a exploração dessas brechas. A Huntress relatou que os invasores configuraram um receptor malicioso e instalaram um webshell no diretório da aplicação, um recurso que permite executar comandos remotamente e instalar outros programas no servidor.
Os pesquisadores analisaram que a falha de autenticação permite que um token aleatório substitua credenciais válidas. Após explorar essa vulnerabilidade, os invasores conseguiram implantar o código malicioso dentro da aplicação. Entre os programas detectados está o XMRig, um minerador de código aberto e legítimo que utiliza os recursos computacionais do sistema para minerar Monero.
Nesses ataques, a atividade ocorre sem permissão, e as criptomoedas arrecadadas são direcionadas para as carteiras dos criminosos. A Monero possui características de privacidade que dificultam o rastreamento das transações, o que favorece seu uso em operações de mineração não autorizadas.
Para ocultar o software, os invasores fizeram com que o XMRig se parecesse com um processo do Microsoft Edge e criaram serviços falsos de atualização do navegador. Além disso, um script foi implementado para interromper a mineração caso alguém abrisse o Gerenciador de Tarefas, fechando a ferramenta após uma hora. Segundo os especialistas, o código parece ter sido elaborado com o auxílio de inteligência artificial.
Este incidente evidencia uma fragilidade significativa: servidores destinados à recuperação de dados após incidentes também podem ser violados. Caso os invasores mantenham acesso a esses equipamentos, simplesmente remover o minerador pode não ser suficiente para erradicar a ameaça.
A Huntress notificou que todas as versões do AhsayCBS até a versão 10.3.4 estão vulneráveis. A empresa aconselha as organizações a implementar medidas corretivas para sanar as falhas e prevenir acessos não autorizados. A Huntress também adverte que os invasores podem deixar mecanismos extras para garantir o acesso contínuo aos servidores, recomendando, portanto, que, ao notar sinais de invasão, o sistema seja reconstruído a partir de uma fonte confiável, em vez de apenas desinstalar o minerador.