در رویدادی نگران‌کننده که در مهرماه ۱۴۰۵ به وقوع پیوست، مهاجمان سایبری با بهره‌برداری از دو آسیب‌پذیری بحرانی در پلتفرم مدیریت پشتیبان‌گیری AhsayCBS، سرورهای پشتیبان‌گیری شرکت‌ها را به ابزاری برای استخراج ارز دیجیتال مونرو (Monero) تبدیل کردند. این حمله بار دیگر اهمیت حیاتی امنیت زنجیره تامین و حفاظت از زیرساخت‌های بک‌آپ را به عنوان آخرین سنگر در برابر حملات سایبری گوشزد کرد.
شناسایی آسیب‌پذیری‌های بحرانی و مکانیسم نفوذ
محققان امنیتی در شرکت Huntress در تاریخ ۱۲ مهر ۱۴۰۵ (۴ اکتبر ۲۰۲۶) دو نقص امنیتی مهم را در این نرم‌افزار شناسایی و گزارش کردند. آسیب‌پذیری نخست با شناسه CVE-2026-105113، یک نقص با شدت متوسط در تابع checkSysPwd است که به مهاجم اجازه می‌دهد از احراز هویت صحیح عبور کند. آسیب‌پذیری دوم که بسیار بحرانی‌تر است، با شناسه CVE-2026-105134 در کامپوننت Replication Receiver شناخته می‌شود.
بهره‌برداری از این دو نقص به صورت زنجیره‌ای به مهاجمان امکان داد تا بدون نیاز به احراز هویت، کد مخرب خود را با دسترسی سطح سیستم (NT AUTHORITY\SYSTEM) روی سرور میزبان اجرا کنند. در این حملات، مهاجمان یک وب‌شل (Webshell) از نوع JSP را در دایرکتوری برنامه تزریق کردند که به عنوان نقطه‌ای برای دریافت و اجرای فایل‌های اجرایی مرحله دوم عمل می‌کرد.
پنهان‌سازی هوشمندانه: وقتی ماینر در لباس Microsoft Edge ظاهر می‌شود
مهاجمان پس از دسترسی کامل، ابزار متن‌باز استخراج ارز دیجیتال XMRig را روی سرورها مستقر کردند. برای جلوگیری از شناسایی توسط مدیران سیستم، آن‌ها اقدامات فریبنده‌ای انجام دادند:
- تغییر نام فرآیند اصلی ماینر به نام‌های مشابه با مرورگر Microsoft Edge.
- ثبت ماینر به عنوان یک سرویس آپدیت جعلی مایکروسافت جهت حفظ پایداری (Persistence).
- استفاده از اسکریپت‌های اتوماسیون (احتمالاً تولید شده توسط هوش مصنوعی) که در صورت باز شدن Task Manager توسط کاربر، فرآیند ماینر را متوقف کرده و پس از یک ساعت Task Manager را نیز برای جلوگیری از بررسی دقیق‌تر می‌بندد.
مشخصات فنی و اقدامات اصلاحی
- نرم‌افزار تحت تأثیر: تمامی نسخه‌های AhsayCBS تا نسخه 10.3.4
- شناسه‌های آسیب‌پذیری: CVE-2026-105113 و CVE-2026-105134
- هدف حمله: سرورهای مدیریت بک‌آپ و MSPها
- توصیه امنیتی: اعمال فوری پچ‌های امنیتی ارائه‌شده توسط تولیدکننده.
- اقدامات شبکه: محدودسازی دسترسی به پنل مدیریت از طریق لیست سفید IPها یا استفاده از VPN.
- بازیابی: در صورت آلودگی، بازگردانی کامل سیستم (Re-image) از بک‌آپ‌های مطمئن الزامی است، زیرا مهاجمان از درهای پشتی ثانویه برای ماندگاری استفاده می‌کنند.
تحلیل اهمیت امنیت زیرساخت پشتیبان‌گیری
سرورهای پشتیبان‌گیری به عنوان «قلعه نهایی» در هر سازمان شناخته می‌شوند. نفوذ به این سرورها نه تنها امکان استخراج ارز دیجیتال را فراهم می‌کند، بلکه می‌تواند به تخریب کامل داده‌های پشتیبان یا سرقت اطلاعات حساس منجر شود. اینکه شرکت‌ها در این حادثه صرفاً با یک عملیات استخراج ارز مواجه شده‌اند، نشان‌دهنده «خوش‌شانسی» آن‌ها در مقایسه با احتمال استقرار باج‌افزار (Ransomware) است. مدیران IT باید توجه داشته باشند که امنیت نرم‌افزارهای مدیریت پشتیبان به اندازه امنیت خودِ دیتاسنتر اهمیت دارد و نباید بدون فیلتر یا محدودیت‌های شبکه در معرض اینترنت عمومی قرار گیرند.
