Unos atacantes aprovecharon dos vulnerabilidades de AhsayCBS, la consola de gestión del software de copias de seguridad de Ahsay, para entrar en servidores de backup y dejar en ellos cinco familias de webshells, dos mineros de criptomonedas, herramientas de túnel y un implante en Python diseñado para no ejecutarse en entornos de análisis. Lo ha documentado la empresa de seguridad Huntress, que analizó servidores comprometidos entre el 8 y el 11 de octubre de 2026, antes de que existiera parche. Los fallos son CVE-2026-105133, que permite saltarse la autenticación, y CVE-2026-105134, que da ejecución remota de código como SYSTEM.
Las claves del ataque a AhsayCBS en 20 segundos
- Dos fallos encadenados dan ejecución remota como SYSTEM sin autenticación.
- Los parches son 10.3.4.45 para la versión 10 y 9.15.2.70 para las versiones 7 a 9.
- Parchear no elimina lo que el atacante ya dejó instalado.
Huntress ya había informado en octubre de una primera oleada de explotación, más rápida, con webshells y un minero XMRig disfrazado de Microsoft Edge. La nueva investigación describe una intrusión más paciente. «Este incidente refleja una intrusión mucho mayor y con más paciencia», resume la compañía, que atribuye la actividad a la misma campaña porque las webshells estaban en los directorios web de AhsayCBS y los registros de acceso mostraban una IP de origen ya identificada. El punto de entrada fue la ruta /rps/api/json/UpdateReceivers.do, y Huntress ha comprobado que la versión 10.3.4.45 lo bloquea.
Cinco webshells, una de ellas dentro de imágenes
Las webshells en JSP iban de lo más simple a lo muy elaborado. La más común compara una clave en el parámetro p y, si no coincide, devuelve un error 404, de modo que un escáner que no la conozca solo ve una página vacía. Otra variante añade escritura de ficheros. Las llamadas status_ o st_ seguidas de seis letras aleatorias ejecutan órdenes, borran rutas y pueden borrarse a sí mismas, así que no encontrarlas en disco no demuestra que no estuvieran.
Las dos más sofisticadas estaban en webappsrps. AhsayCBS.jsp se hace pasar por un servicio de vista previa de imágenes: extrae un payload cifrado con AES de los bits menos significativos de los píxeles de un PNG y lo ejecuta en memoria como clase Java, así que en los registros solo se ve tráfico de imágenes. nsmind.jsp funciona como una pequeña API de administración remota con peticiones firmadas con HMAC-SHA256, protección contra repeticiones y descarga de ficheros por trozos de hasta 4 GB. En un servidor de copias, esa función es un canal de exfiltración listo para usar, aunque Huntress no vio registros que demuestren que se usara.
El exploit también probó rutas de Linux como /opt/AhsayCBS o /home/ahsay/AhsayCBS, que en Windows aparecieron como carpetas C:opt, C:usr y C:home. No sirven como webshell, pero son un indicio fiable de compromiso.
Mineros, túneles y un implante con llave
Además del minero disfrazado de Edge, Huntress encontró un segundo XMRig, kvm-agent.exe en C:WindowsSysWOW64kvm-agent, con otra cartera y otros pools. Una tarea programada llamada kvm lo relanza cada minuto como SYSTEM y tiene la fecha de inicio retrasada para parecer antigua. El atacante también añadió exclusiones a Microsoft Defender para C:ProgramData, C:Windows, carpetas temporales y el propio proceso de AhsayCBS, creó una cuenta local wdguest y dejó las herramientas de túnel gost y chisel, los programas de acceso remoto AnyDesk, Atera y Splashtop y un paquete de Mimikatz.
La pieza más llamativa es main.py, lanzado desde una distribución de Python embebida en el perfil de SYSTEM mediante una clave Run. Calcula el SHA-256 del MachineGuid del equipo y solo se ejecuta si junto a él hay un fichero con ese nombre, una llave que impide que funcione en un sandbox o en el equipo de un analista. Si la encuentra, carga en memoria una DLL de 64 bits que contacta con creepexplosiondarknight[.]com y usa DNS sobre HTTPS de Quad9 y Google. Huntress no ha identificado la familia de malware ni sabe qué hace tras conectar.
En un servidor de Veeam de la misma organización apareció además una orden compatible con el módulo de NetExec que consulta la base PostgreSQL de VeeamBackup y descifra las credenciales con DPAPI. «El software de copias guarda credenciales de hipervisores, repositorios y cuentas de dominio», recuerda Huntress, que no sabe cuántas se obtuvieron, pero cree que el interés por la infraestructura de backup era deliberado.
Qué revisar si se usa AhsayCBS
Lo primero es aplicar los hotfixes 10.3.4.45 o 9.15.2.70. En cualquier servidor expuesto antes del parche, Huntress recomienda buscar:
- Ficheros
.jspinesperados enwebappscbsywebappsrps, sobre todo con patronesstatus_*ost_*, y peticiones aUpdateReceivers.doen los registros de acceso. - Carpetas
ahsay_*,home,opt,srvousren la raíz o en Program Files. - Tareas programadas o servicios desconocidos, como una tarea de SYSTEM que se repite cada minuto.
- Exclusiones de Defender que nadie añadió y una instalación de Python bajo el perfil de SYSTEM.
- Que
cbssvcX64.exelance una consola de comandos, y conexiones a resolvers DNS sobre HTTPS desde procesos que no son navegadores.
Si aparece cualquiera de estos indicios, Huntress aconseja reinstalar el servidor desde una copia fiable y rotar todas las credenciales guardadas o accesibles desde él, incluidas las de AhsayCBS y las de cualquier otro software de copias de la red. Los hashes, carteras, claves de las webshells y el resto de indicadores están en el informe completo de Huntress.
Preguntas frecuentes
¿Qué vulnerabilidades de AhsayCBS se explotan?
CVE-2026-105133, que permite saltarse la autenticación, y CVE-2026-105134, que da ejecución remota de código como SYSTEM.
¿Qué versiones corrigen el fallo?
El hotfix 10.3.4.45 para la versión 10 y el 9.15.2.70 para las versiones 7 a 9.
¿Basta con parchear?
No. El parche cierra la entrada, pero no elimina webshells ni malware instalados antes. Hay que revisar el servidor y rotar credenciales.
Fuentes:
