Leveranskedjeattack mot AOMEI använde tillfälliga serverändringar för att sprida skadlig kod

Leveranskedjeattacken mot AOMEI använde kortvariga ändringar i filer på leverantörens servrar för att sprida skadlig kod via programvaran Backupper, enligt säkerhetsforskare. Angriparna återställde originalfilerna inom några minuter, vilket gjorde att efterföljande kontroller såg normala ut.

ManageEngines Threat Analysis Lab undersökte kampanjen tillsammans med Googles Threat Intelligence Group och Mandiant. De kopplade aktiviteten till en hotaktör som spåras under beteckningen UNC7017.

Den rapporterade kampanjen pågick mellan april och juli 2026. Forskarna identifierade drabbade organisationer i flera länder, men intrångets fullständiga omfattning är fortfarande okänd.

Oväntad installation av fjärråtkomstprogram väckte misstankar

Forskarna upptäckte först misstänkt aktivitet den 28 maj, då AOMEI Backupper installerade Radmin hos två oberoende företag i olika länder.

Radmin är ett legitimt verktyg för fjärradministration. Installationen väckte dock misstankar eftersom Backuppers processer för marknadsföringsmaterial hade startat den.

Dessa processer hämtar normalt marknadsföringsmaterial och aviseringar. Därför ledde deras inblandning i installationen av fjärråtkomstprogram till ytterligare undersökningar.

De första försöken att återskapa beteendet misslyckades. I stället kontaktade testsystemen AOMEI:s servrar och tog emot legitima konfigurationsfiler.

Forskarna fastställde senare att angriparna endast ändrade filerna under korta perioder innan de återställde det ursprungliga innehållet.

Två konfigurationsfiler möjliggjorde tyst installation av skadlig kod

Angriparna modifierade två filer som stödde Backuppers funktioner för marknadsföring och aviseringar: down_html.ini och Notifycfg.ini.

Den första instruerade applikationen att ladda ner ett skadligt ZIP-arkiv. Samtidigt använde den andra aviseringsmekanismen för att utlösa körning utan användarinteraktion.

Angriparna ändrade också den förväntade kontrollsumman i nedladdningskonfigurationen. Därmed klarade det skadliga arkivet applikationens filverifieringskontroller.

Google lyckades senare återskapa körningssekvensen i sina egna tester.

Metoden utnyttjade en betrodd distributionsväg. I stället för att övertala användare att öppna en orelaterad nedladdning fick angriparna den installerade säkerhetskopieringsprogramvaran att hämta och köra den skadliga koden.

Skadliga filer var synliga under endast några minuter

Efter att den inledande undersökningen misslyckats med att återskapa attacken började ManageEngine kontinuerligt övervaka AOMEI:s servrar.

Den 16 juli registrerade övervakningen skadliga konfigurationsändringar medan de genomfördes. Forskarna identifierade slutligen tre bekräftade exponeringsperioder:

• 28 maj: 05.40–05.50 UTC, totalt 10 minuter.
• 16 juli: 08.33–08.39 UTC, totalt sex minuter.
• 20 juli: 10.35–10.40 UTC, totalt fem minuter.

Efter varje period återställdes den ursprungliga konfigurationen. Därför kunde kontroller utanför dessa tidsintervall helt missa det skadliga innehållet.

Google beskrev attackerna som opportunistiska. Ytterligare organisationer kan ha kommit i kontakt med den skadliga koden om deras programvara anslöt till den berörda infrastrukturen under dessa korta perioder.

Bland de kända offren fanns organisationer i USA, Australien, Indien, Singapore, Spanien och Schweiz. De drabbade sektorerna omfattade IT-tjänster, telekommunikation och högre utbildning.

CROSSROAD och SHINYROAD etablerade fortsatt åtkomst

Leveranskedjeattacken mot AOMEI spred ett tidigare okänt nedladdningsprogram kallat CROSSROAD och en bakdörr med namnet SHINYROAD.

CROSSROAD samlade in information om infekterade datorer, laddade ner ytterligare komponenter och skapade en schemalagd uppgift för att upprätthålla bestående åtkomst.

Samtidigt använde SHINYROAD legitima Radmin-komponenter för att ladda skadlig kod. Därefter etablerade den en utgående anslutning till infrastruktur som angriparna kontrollerade.

Den anslutningen kunde potentiellt göra det möjligt för angriparna att skicka ytterligare kommandon och leverera fler skadliga komponenter.

Under aktiviteten den 20 juli observerade Google också ett försök att samla in Windows-autentiseringshashar. Ett osynligt aviseringsfönster dirigerade programvaran till en WebDAV-resurs som angriparna kontrollerade.

Detta kunde exponera NTLM-autentiseringsmaterial för insamling och eventuell offlineknäckning. Rapporten fastställer dock inte att angriparna lyckades återställa några lösenord.

Forskarna ifrågasatte den ursprungliga förklaringen

ManageEngine underrättade först AOMEI den 7 juni. Företaget föreslog inledningsvis att någon kan ha avlyssnat och ändrat innehållet under överföringen.

Forskarna uppgav dock att deras bevis inte stödde den förklaringen. De berörda systemen hämtade innehållet via HTTPS från värdnamn som tillhörde AOMEI, över oberoende nätverk i olika länder.

Den skadliga körbara filen levererades också genom Backuppers egen extraheringsprocess. Forskarna drog därför slutsatsen att ändringen hade skett inom den distributionsväg som leverantören stod värd för.

Efter att ha registrerat aktiviteten den 16 juli försåg ManageEngine AOMEI med de modifierade filerna, filjämförelser och hashar. Företaget satte också AOMEI i kontakt med Mandiant för att stödja den fortsatta utredningen.

Serverändringar rensar inte redan infekterade datorer

AOMEI uppgav senare att företagets tekniska team hade uppgraderat servrar, åtgärdat potentiella sårbarheter och kontrollerat filerna på servrarna. Google rapporterade också att AOMEI bekräftade korrigerande åtgärder den 29 juli.

Efter att resultaten offentliggjorts uppgav AOMEI att företagets teknikchef ledde en högt prioriterad utredning.

Företaget hade dock inte förklarat hur angriparna fick åtkomst eller bekräftat om det helt hade åtgärdat det rapporterade intrånget.

ManageEngine betonade också att säkrade servrar inte skulle ta bort skadlig kod som redan installerats på kundernas datorer.

Organisationer som använder Backupper bör granska forskarnas publicerade indikatorer på intrång. Relevanta tecken omfattar misstänkta schemalagda uppgifter, oväntade körbara filer i AOMEI:s installationskataloger och anslutningar till infrastruktur som angriparna kontrollerar.