Telset.id – Serangan siber aktif menyasar server backup yang selama ini dianggap sebagai lapisan pertahanan terakhir organisasi. Threat actor mengeksploitasi dua celah pada Ahsay Cloud Backup Suite (AhsayCBS) untuk menanam webshell dan cryptominer XMRig yang disamarkan, dan hingga 8 Oktober 2026 setidaknya lima organisasi telah menjadi target. Patch sudah tersedia, namun serangan dilaporkan masih berlangsung sehingga pengguna perangkat lunak ini diminta segera menutup celah keamanan tersebut.
AhsayCBS adalah platform manajemen backup berbasis server yang dikembangkan perusahaan bernama sama asal Hong Kong. Perangkat lunak ini dipakai bisnis, managed service provider (MSP), dan admin IT untuk mengelola backup perangkat serta klien mereka di berbagai server virtual dan fisik, database, dan sejumlah lingkungan perangkat lunak. Karena fungsinya itu, AhsayCBS banyak digunakan penyedia layanan IT untuk mengurus data klien mereka.
Riset tim keamanan Huntress mengungkap bahwa pada 4 Oktober 2026 dua kelemahan pada AhsayCBS dipublikasikan secara terbuka, yakni CVE-2026-105113 dan CVE-2026-105134. Kerentanan pertama tergolong medium severity karena memengaruhi fungsi checkSysPwd dan dapat berujung pada improper authentication. Kerentanan kedua berkategori critical severity karena memengaruhi komponen Replication Receiver, yang dapat berujung pada unauthenticated remote code execution sebagai NT AUTHORITY/SYSTEM di host bersangkutan.
Baca Juga:
Huntress menjelaskan mekanisme eksploitasi yang terjadi. “The API contains an authentication bypass that could allow for a random token to substitute valid credentials,” ujar para peneliti. “After exploitation, a threat actor configured a malicious receiver and dropped a Java Server Page (JSP) webshell into the application directory served by the CBS application.”
Hanya tiga hari setelah pengungkapan tersebut, threat actor mulai mengeksploitasi kedua bug itu. Kerentanan pertama dipakai untuk melewati autentikasi, sedangkan kerentanan kedua dimanfaatkan untuk mendapatkan eksekusi kode dan menanam webshell pada sistem yang terekspos. Webshell tersebut berfungsi terutama sebagai dropper yang menyebarkan sejumlah executable tahap kedua.
Huntress juga menemukan threat actor menanam cryptominer populer bernama XMRig. Ini adalah miner open-source legal yang memanfaatkan perangkat keras, listrik, dan internet komputer untuk menambang mata uang Monero dan menyetorkannya ke dompet milik penyerang. Monero menjadi pilihan utama untuk penambangan kripto tanpa izin karena dirancang sebagai koin yang mengutamakan privasi dan sangat sulit dilacak di seluruh blockchain.
Penyerang berupaya keras menyembunyikan XMRig di server backup tersebut. Mereka menyamarkan miner sebagai proses Microsoft Edge dan memasangnya sebagai layanan update Edge palsu. Mereka juga memastikan miner tersebut tidak terlihat saat seseorang memeriksa sistem. Sebuah skrip, yang tampaknya ditulis oleh AI, mematikan miner setiap kali Task Manager dibuka. Skrip yang sama juga menutup Task Manager setelah satu jam.
Backup dipersepsikan sebagai salah satu perlindungan terkuat terhadap serangan ransomware. Hampir semua organisasi keamanan siber dan pemimpin pemikiran menyarankan organisasi menerapkan backup dan memelihara serta mengendalikannya secara rutin, untuk memastikan tidak kedaluwarsa atau rusak. Fakta bahwa backup dapat dikompromikan dengan relatif mudah seharusnya menjadi alarm. Bisnis yang terkena serangan bisa menganggap diri mereka beruntung karena hanya mengalami infeksi XMRig dan bukan encryptor ransomware berskala penuh.
Meski demikian, per 8 Oktober, Huntress menyatakan setidaknya lima organisasi sudah menjadi target. Karena itu, semua organisasi yang menggunakan AhsayCBS perlu menerapkan patch yang disediakan sesegera mungkin. Semua versi utilitas tersebut, hingga versi 10.3.4, terdampak.
Selain menerapkan perbaikan, organisasi juga disarankan membatasi akses web antarmuka manajemen AhsayCBS, karena eksploitasi menyasar layanan aplikasi web yang dapat diakses dari luar pada host tersebut. “Access should be limited to trusted IP addresses only or require VPN,” kata Huntress. “If any of the IoCs listed in this blog have been uncovered, companies should carry out a full host re-image from a trusted backup; as attackers have been able to hide secondary backdoors for extended persistence.”
Kasus AhsayCBS ini menegaskan bahwa permukaan serangan pada infrastruktur keamanan dan operasional terus melebar, sejalan dengan peringatan yang muncul di berbagai lini. Di sisi perlindungan identitas dan akses, pendekatan IAM Tradisional dinilai tidak lagi memadai untuk mengamankan lingkungan enterprise yang semakin otonom. Ancaman juga datang dari aktor negara, seperti yang terlihat pada kasus Hacker China yang memalsukan identitas peneliti untuk mengincar rahasia AI Amerika Serikat.
Industri keuangan pun mulai bergerak menyikapi risiko baru ini. Sebanyak 6 Bank Raksasa menyerukan standar perlindungan konsumen untuk belanja yang dilakukan lewat agen AI. Sementara di kalangan pengembang, Bos AI Minta Perlambatan pembangunan sistem canggih, sebuah permintaan yang diyakini menyimpan motif tersembunyi.
Bagi organisasi yang sudah memakai AhsayCBS, langkah yang disarankan Huntress bersifat teknis dan langsung: patch semua versi yang terdampak hingga 10.3.4, batasi akses antarmuka manajemen hanya untuk alamat IP tepercaya atau melalui VPN, dan lakukan re-image host secara penuh dari backup tepercaya jika indikator kompromi yang tercantum dalam blog mereka ditemukan. Langkah re-image dinilai penting karena penyerang terbukti mampu menyembunyikan backdoor sekunder untuk persistensi jangka panjang.
[ META_DESCRIPTION]
AhsayCBS diserang lewat CVE-2026-105113 dan CVE-2026-105134. Webshell dan XMRig ditanam di server backup, patch harus segera diterapkan.
Komentar
Belum ada komentar.