На резервную копию рассчитывают, когда всё остальное сломалось. Теперь хакеры атакуют сами серверы резервного копирования AhsayCBS: Huntress зафиксировала атаки как минимум на пять организаций. Уязвима и последняя версия 10.3.4, а безопасной версии так и нет.
Атака строится на связке двух уязвимостей: первая позволяет обойти аутентификацию, вторая - внедрить команду операционной системы. На Windows злоумышленник получает удалённое выполнение команд с практически максимальными привилегиями. Дальше он оставляет веб-шелл, чтобы возвращаться на сервер, и ставит майнер Monero под видом компонента браузера Edge. Скрипт останавливает майнинг, пока открыт Диспетчер задач.
Но опаснее всего не майнер. AhsayCBS используют поставщики управляемых ИТ-услуг и интеграторы, и через такой сервер проходят настройки резервного копирования и доступ к инфраструктуре клиентов. Пока патча нет, панель управления советуют убрать из открытого интернета и пускать к ней только доверенные IP-адреса. При подтверждённом взломе систему нужно восстанавливать из чистой резервной копии. Удалить один майнер недостаточно - у хакеров могли остаться другие лазейки в систему.