الأمن التقني

استغلال ثغرات AhsayCBS غير المُرقّعة لتعدين العملات الرقمية

رصدت شركة Huntress هجمات نشطة تستهدف أنظمة النسخ الاحتياطي AhsayCBS، حيث يتم استغلال ثغرات أمنية حرجة ومتوسطة الخطورة لتثبيت برمجيات خبيثة ومعدّات عملات رقمية.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 10 أكتوبر 2026 · آخر تحديث: 10 أكتوبر 2026 · 3 دقائق قراءة

استغلال ثغرات AhsayCBS غير المُرقّعة لتعدين العملات الرقمية — الصورة: BleepingComputer

هجمات نشطة على أنظمة النسخ الاحتياطي

كشفت شركة Huntress المتخصصة في الكشف عن التهديدات والاستجابة لها عن حملة هجمات نشطة تستهدف منصة إدارة النسخ الاحتياطي AhsayCBS. تستغل الجماعات التهديدية ثغرتين أمنيتين لم يتم إصلاحهما بعد، إحداهما حرجة والأخرى متوسطة الخطورة، بهدف نشر شيفرات ويب (Webshells) ومعدّات عملات رقمية. تُستخدم منصة AhsayCBS بشكل شائع من قبل مزودي الخدمات المُدارة (MSPs) ومكاتب تكامل الأنظمة، مما يجعلها هدفاً جذاباً للهاكرز الذين يسعون للوصول إلى شبكات واسعة. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

تفاصيل الثغرات المستغلة

تتعلق الثغرتان المستغلّتان بالمعرّفات CVE-2026-105133 وCVE-2026-105134. الثغرة الأولى هي ثغرة تجاوز مصادقة (Authentication Bypass) تتوفر لها أدوات استغلال عامة، بينما تسمح الثغرة الثانية بحقن أوامر نظام التشغيل (OS Command Injection). على الرغم من أن الشركة المطورة أعلنت عن إصلاح هذه الثغرات في الإصدار 10.3.2، إلا أن فريق البحث في Huntress اكتشف أن الإصدار الأحدث 10.3.4 لا يزال عرضة لهذين العيبين. وقد أكدت الشركة في تحديث لها أن الإصدار الأخير متأثر أيضاً، مما يطيل أمد الخطر على المستخدمين الذين يظنون أنهم محميون.

آلية التنفيذ والاختراق

في الهجمات المرصودة، قام المهاجمون بسلسلة الثغرتين معاً؛ حيث استغلوا CVE-2026-105133 أولاً لتجاوز آليات المصادقة والدخول إلى النظام دون صلاحيات مشروعة. بعد ذلك، استخدموا CVE-2026-105134 لتنفيذ أوامر خبيثة على مستوى نظام التشغيل. بمجرد الحصول على الوصول، قام المهاجمون بإجراء عمليات استطلاع (Reconnaissance) لفهم بنية الشبكة، ثم قاموا بتثبيت شيفرات ويب مكتوبة بلغة Java Server Pages (JSP) للحفاظ على السيطرة عن بُعد.

تخفي معدّ العملات الرقمية

بعد تثبيت الشيفرات، قام المهاجمون بتنزيل معدّ عملات رقمية من نوع XMRig، لكنهم أخفوه خلف ملف يحمل اسم edge.exe. لضمان استمرار المعد في العمل حتى بعد إعادة تشغيل النظام، قام المهاجمون بإنشاء خدمة نظام باسم 'MicrosoftEdgeUpdateSvc'. هذه الخدمة تشغّل ملف msedge.exe، الذي تم تحديده على أنه نسخة معدّلة من أداة إدارة الخدمات المشروعة NSSM. هذا التخفي يجعل من الصعب على مراقبي النظام اكتشاف النشاط الخبيث في البداية.

إخفاء النشاط عبر سكربتات ذكية

لإخفاء نشاط التعدين عن أعين المدراء، استخدم المهاجمون ملف PowerShell يحمل اسم Taskgmr.ps1، والذي تعتقد Huntress أنه سكريبت مُساعد بالذكاء الاصطناعي. يقوم هذا السكريبت بإيقاف خدمة التعدين تلقائياً بمجرد فتح مدير المهام (Task Manager)، ويعيد تشغيلها فور إغلاقه. بالإضافة إلى ذلك، يقوم السكريبت بإنهاء عمل مدير المهام تماماً عند الساعة 6 مساءً بتوقيت المنطقة المحلية، أو إذا بقي مفتوحاً لأكثر من ساعة خلال الليل، مما يعكس محاولة متقدمة لتجنب الرصد البشري المباشر.

توصيات أمنية وإجراءات استجابة

نظراً لعدم توفر تصحيح شامل بعد، توصي شركة Huntress مسؤولي النظام بتقييد الوصول إلى واجهة إدارة AhsayCBS لعناوين IP الموثوقة فقط، والبحث عن مؤشرات الاختراق. إذا تم تأكيد الاختراق، يجب إجراء استعادة كاملة للجهاز من نسخة احتياطية آمنة، لأن المهاجم قد يكون قام بتثبيت أبواب خلفية إضافية لضمان بقاء طويل الأمد. كما قدّم فريق Huntress مؤشرات اختراق (IoCs) وقواعد Sigma للمساعدة في كشف هذه الأنشطة. تواصلت BleepingComputer مع شركة AhsayCBS للاستفسار عن خطط الإصلاح، لكن لم يتم الحصول على رد حتى وقت النشر.