แฮ็กเกอร์เจาะ AhsayCBS ผ่านช่องโหว่ CVE-2026-105133/105134 ฝังเว็บเชลล์และ XMRig ปลอมเป็น Microsoft Edge — Huntress ชี้เวอร์ชันล่าสุด 10.3.4 ก็ยังโดน กลายเป็นซีโรเดย์

สรุปสั้น

บริษัท Huntress พบผู้โจมตีที่ยังไม่ทราบตัวตนใช้ช่องโหว่ 2 รายการใน AhsayCBS ซอฟต์แวร์เซิร์ฟเวอร์สำรองข้อมูลที่ผู้ให้บริการและองค์กรใช้รับแบ็กอัปจากเครื่องลูกข่าย รายการแรกคือ CVE-2026-105133 ช่องโหว่ยืนยันตัวตนไม่ถูกต้องในฟังก์ชัน checkSysPwd() (CVSS v4 5.5) รายการที่สองคือ CVE-2026-105134 ช่องโหว่ OS command injection ในส่วน Replication Receiver (CVSS v4 9.3) เมื่อใช้ร่วมกัน ผู้โจมตีจากระยะไกลจะข้ามการยืนยันตัวตนแล้วรันคำสั่งใดก็ได้บนเครื่อง การโจมตีเริ่มเมื่อ 7 ตุลาคม 2569 เวลา 23:20 น. UTC และถึง 8 ตุลาคมมีองค์กรได้รับผลกระทบแล้ว 5 แห่ง

หลังเจาะสำเร็จ ผู้โจมตีสำรวจระบบ ฝังเว็บเชลล์ และวางตัวขุดคริปโต XMRig ที่ตั้งชื่อเป็น edge.exe ให้ดูเหมือนเบราว์เซอร์ Microsoft Edge พร้อมสคริปต์ PowerShell ที่ Huntress สงสัยว่าเขียนด้วยความช่วยเหลือของ AI ซึ่งหยุดขุดทันทีที่มีคนเปิด Task Manager ประเด็นที่ร้ายแรงที่สุดคือแม้ประกาศใน NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ก็ยังมีช่องโหว่ ทำให้ทั้งสองรายการกลายเป็นซีโรเดย์ที่ยังไม่มีแพตช์จริง ทางเดียวที่ทำได้ตอนนี้คือจำกัดการเข้าถึงหน้าจัดการและไล่ล่าร่องรอยการเจาะ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 อ้างข้อมูลจาก Huntress ว่าหมายเลข CVE ของช่องโหว่ทั้งสองเพิ่งเผยแพร่เมื่อ 4 ตุลาคม 2569 และการโจมตีจริงเริ่มขึ้นเพียง 3 วันหลังจากนั้น Huntress ระบุว่า “หลังเจาะสำเร็จ ผู้ก่อภัยสำรวจระบบ วางเว็บเชลล์ ฝังตัวขุด XMRig ที่ปลอมตัวเป็น Microsoft Edge และอื่น ๆ อีก รวมถึงวางสิ่งที่ดูเหมือนเป็นสคริปต์ PowerShell ที่ AI ช่วยเขียน ซึ่งคอยเฝ้า Windows Task Manager และปิดมันหากเปิดค้างไว้นานเกินไปในช่วงกลางดึก”

ผู้โจมตีใช้ curl เรียกสคริปต์ PowerShell ชื่อ Taskgmr.ps1 ที่ทำหน้าที่ดูแลการขุด สคริปต์มีกลไกต่อต้านการวิเคราะห์ที่หยุดตัวขุดทันทีเมื่อเหยื่อเปิด Task Manager และถูกตั้งให้ปิด Task Manager ที่เวลา 18:00 น. หากหน้าต่างเปิดค้างเกิน 1 ชั่วโมงในช่วงกลางคืน แนวคิดคือให้ผู้ดูแลระบบที่เปิดดูโปรเซสไม่เห็นการใช้ CPU ผิดปกติ

ในเหตุการณ์อย่างน้อย 1 ครั้ง ผู้โจมตีใช้ certutil.exe ที่มากับ Windows ดาวน์โหลดไดรเวอร์ WinRing0x64.sys ซึ่งเป็นไดรเวอร์ของจริงแต่มีช่องโหว่มาไว้ในโฟลเดอร์ TEMP เพื่อเข้าถึงฮาร์ดแวร์ระดับเคอร์เนล ซึ่งน่าจะใช้ปรับแต่งให้การขุดมีประสิทธิภาพขึ้น เป็นรูปแบบเดียวกับที่ตัวขุด XMRig หลายสายใช้มานาน

รายละเอียดช่องโหว่

คะแนนของ CVE-2026-105133 เพียง 5.5 อาจทำให้ถูกจัดลำดับความสำคัญต่ำหากประเมินทีละรายการ แต่ในการโจมตีจริงช่องโหว่นี้คือกุญแจที่เปิดทางให้ CVE-2026-105134 ทำงานได้โดยไม่ต้องมีรหัสผ่าน การประเมินความเสี่ยงจึงต้องดูทั้ง chain ไม่ใช่คะแนนรายตัว เป้าหมายของ exploit คือเว็บแอปพลิเคชันของ AhsayCBS ที่เปิดให้เข้าถึงจากภายนอก

ผลกระทบ

เซิร์ฟเวอร์สำรองข้อมูลเป็นเป้าหมายที่มีค่าสูงกว่าที่ตัวขุดคริปโตสะท้อน เพราะถือสำเนาข้อมูลของเครื่องลูกข่ายจำนวนมาก และมักมีสิทธิ์เข้าถึงระบบอื่นในเครือข่าย ผู้ให้บริการแบ็กอัปบนคลาวด์ที่ใช้ AhsayCBS ให้บริการลูกค้าหลายรายยังขยายผลกระทบไปยังลูกค้าปลายทาง ผู้โจมตีกลุ่มนี้เลือกขุดคริปโต แต่เว็บเชลล์ที่วางไว้เปิดทางให้คนอื่นหรือกลุ่มเดิมกลับมาทำสิ่งที่ร้ายแรงกว่า เช่น ขโมยหรือเข้ารหัสข้อมูลสำรอง ซึ่งเป็นสิ่งที่กลุ่มแรนซัมแวร์ต้องการทำลายเป็นอันดับแรก

อีกบทเรียนคือคำว่า “แก้แล้ว” ในประกาศช่องโหว่ไม่ได้รับประกันว่าปลอดภัย องค์กรที่อัปเดตเป็น 10.3.4 ตาม NVD แล้วคิดว่าจบ จะยังเปิดพื้นผิวโจมตีอยู่เต็มที่ และช่องว่างเพียง 3 วันระหว่างการเผยแพร่ CVE กับการโจมตีจริงแสดงว่าผู้โจมตีอ่านประกาศเดียวกับผู้ป้องกัน แต่ลงมือเร็วกว่า

คำแนะนำ

• จำกัดการเข้าถึงหน้าจัดการเว็บของ AhsayCBS ให้เฉพาะ IP ที่เชื่อถือได้หรือผ่าน VPN เท่านั้น ตามที่ Huntress แนะนำ และอย่าถือว่าเวอร์ชัน 10.3.4 ปลอดภัย
• ไล่ล่าร่องรอยบนเซิร์ฟเวอร์ AhsayCBS: ไฟล์ edge.exe ที่ไม่ได้อยู่ในโฟลเดอร์ติดตั้ง Microsoft Edge, สคริปต์ Taskgmr.ps1, ไฟล์ WinRing0x64.sys ในโฟลเดอร์ TEMP และไฟล์เว็บที่ไม่รู้จักในไดเรกทอรีของเว็บแอป
• ตรวจล็อกการเรียก curl และ certutil.exe ที่ดาวน์โหลดไฟล์จากภายนอก รวมถึงโปรเซสลูกที่แปลกปลอมจากบริการ AhsayCBS ตั้งแต่ 7 ต.ค. 2569 เป็นต้นไป
• เฝ้าระวังการใช้ CPU สูงผิดปกติ และการเชื่อมต่อออกไปยัง mining pool
• พิจารณาบล็อกไดรเวอร์ WinRing0 ผ่าน Microsoft Vulnerable Driver Blocklist หรือนโยบาย EDR
• หากพบร่องรอย ให้ถือว่าเซิร์ฟเวอร์ถูกยึด ตรวจความสมบูรณ์ของข้อมูลสำรอง หมุนรหัสผ่านและ credential ที่เก็บในระบบ และติดตามประกาศแพตช์จริงจาก Ahsay

แหล่งอ้างอิง

• The Hacker News — Attackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge
• Huntress — AhsayCBS flaws exploited
• NVD — CVE-2026-105133
• NVD — CVE-2026-105134
• Ahsay — AhsayCBS v10.3.4 release notes