Forsyningskædeangreb mod AOMEI brugte kortvarige serverændringer til at sprede malware

Forsyningskædeangrebet mod AOMEI brugte kortvarige ændringer i filer på leverandørens servere til at sprede malware gennem Backupper-softwaren, rapporterer sikkerhedsforskere. Angriberne gendannede de oprindelige filer inden for få minutter, hvilket fik efterfølgende kontroller til at fremstå normale.

ManageEngines Threat Analysis Lab undersøgte kampagnen sammen med Googles Threat Intelligence Group og Mandiant. De tilskrev aktiviteten en trusselsaktør, der spores under betegnelsen UNC7017.

Den rapporterede kampagne fandt sted mellem april og juli 2026. Forskerne identificerede berørte organisationer i flere lande, men kompromitteringens fulde omfang er fortsat ukendt.

Uventet fjernadgangssoftware udløste en undersøgelse

Forskerne opdagede første gang mistænkelig aktivitet den 28. maj, da AOMEI Backupper installerede Radmin hos to uafhængige virksomheder i forskellige lande.

Radmin er et legitimt værktøj til fjernadministration. Installationen vakte dog bekymring, fordi Backuppers processer til håndtering af reklamemateriale havde startet den.

Disse processer henter normalt reklamemateriale og notifikationer. Derfor førte deres involvering i installationen af fjernadgangssoftware til yderligere undersøgelser.

De første forsøg på at genskabe adfærden mislykkedes. I stedet kontaktede testsystemerne AOMEI’s servere og modtog legitime konfigurationsfiler.

Forskerne fastslog senere, at angriberne kun ændrede filerne i korte perioder, før de gendannede det oprindelige indhold.

To konfigurationsfiler muliggjorde installation af malware uden brugerinteraktion

Angriberne ændrede to filer, der understøttede Backuppers reklame- og notifikationsfunktioner: down_html.ini og Notifycfg.ini.

Den første instruerede applikationen i at downloade et ondsindet ZIP-arkiv. Samtidig brugte den anden notifikationsmekanismen til at udløse eksekvering uden brugerinteraktion.

Angriberne ændrede også den forventede kontrolsum i downloadkonfigurationen. Som følge heraf bestod det ondsindede arkiv applikationens filverifikationskontroller.

Google genskabte efterfølgende eksekveringssekvensen i sine egne tests.

Denne fremgangsmåde udnyttede en betroet distributionskanal. I stedet for at overtale brugere til at åbne en uvedkommende download fik angriberne den installerede backupsoftware til at hente og køre den skadelige kode.

Ondsindede filer var kun tilgængelige i få minutter

Efter at den indledende undersøgelse ikke kunne genskabe angrebet, begyndte ManageEngine løbende at overvåge AOMEI’s servere.

Den 16. juli registrerede overvågningen ondsindede konfigurationsændringer, mens de fandt sted. Forskerne identificerede til sidst tre bekræftede eksponeringsperioder:

• 28. maj: 05.40–05.50 UTC, i alt 10 minutter.
• 16. juli: 08.33–08.39 UTC, i alt seks minutter.
• 20. juli: 10.35–10.40 UTC, i alt fem minutter.

Efter hver periode blev den oprindelige konfiguration gendannet. Derfor kunne kontroller uden for disse tidsrum helt overse det ondsindede indhold.

Google beskrev angrebene som opportunistiske. Yderligere organisationer kan have været udsat for de skadelige komponenter, hvis deres software kontaktede den berørte infrastruktur i disse korte intervaller.

Blandt de kendte ofre var organisationer i USA, Australien, Indien, Singapore, Spanien og Schweiz. De berørte sektorer omfattede IT-tjenester, telekommunikation og videregående uddannelse.

CROSSROAD og SHINYROAD etablerede vedvarende adgang

Forsyningskædeangrebet mod AOMEI distribuerede et tidligere ukendt downloadprogram kaldet CROSSROAD og en bagdør ved navn SHINYROAD.

CROSSROAD indsamlede oplysninger om inficerede computere, downloadede yderligere komponenter og oprettede en planlagt opgave for at opretholde vedvarende adgang.

Samtidig brugte SHINYROAD legitime Radmin-komponenter til at indlæse skadelig kode. Derefter etablerede den en udgående forbindelse til infrastruktur kontrolleret af angriberne.

Denne forbindelse kunne potentielt gøre det muligt for angriberne at sende yderligere kommandoer og levere flere skadelige komponenter.

Under aktiviteten den 20. juli observerede Google også et forsøg på at indsamle Windows-autentificeringshashes. Et usynligt notifikationsvindue dirigerede softwaren til en WebDAV-ressource kontrolleret af angriberne.

Dette kunne eksponere NTLM-autentificeringsmateriale til indsamling og mulig offline-knækning. Rapporten fastslår dog ikke, at angriberne havde held med at genskabe adgangskoder.

Forskerne udfordrede den oprindelige forklaring

ManageEngine underrettede første gang AOMEI den 7. juni. Virksomheden foreslog indledningsvis, at nogen kunne have opsnappet og ændret indholdet under overførslen.

Forskerne oplyste dog, at deres beviser ikke understøttede denne forklaring. De berørte systemer hentede indholdet via HTTPS fra værtsnavne ejet af AOMEI på tværs af uafhængige netværk i forskellige lande.

Den ondsindede eksekverbare fil blev også leveret gennem Backuppers egen udpakningsproces. Forskerne konkluderede derfor, at ændringen fandt sted inden for den distributionskanal, som leverandøren selv hostede.

Efter at have registreret aktiviteten den 16. juli forsynede ManageEngine AOMEI med de ændrede filer, filsammenligninger og hashes. Virksomheden satte også AOMEI i kontakt med Mandiant for at understøtte den videre undersøgelse.

Serverændringer fjerner ikke malware fra allerede inficerede computere

AOMEI oplyste senere, at virksomhedens tekniske team havde opgraderet servere, rettet potentielle sårbarheder og kontrolleret de hostede filer. Google rapporterede også, at AOMEI bekræftede korrigerende tiltag den 29. juli.

Efter offentliggørelsen af resultaterne oplyste AOMEI, at virksomhedens teknologidirektør stod i spidsen for en højt prioriteret undersøgelse.

Virksomheden havde dog ikke forklaret, hvordan angriberne fik adgang, eller bekræftet, om den rapporterede kompromittering var blevet fuldstændigt afhjulpet.

ManageEngine understregede også, at sikring af serverne ikke ville fjerne malware, som allerede var installeret på kundernes computere.

Organisationer, der bruger Backupper, bør gennemgå forskernes offentliggjorte indikatorer på kompromittering. Relevante tegn omfatter mistænkelige planlagte opgaver, uventede eksekverbare filer i AOMEI’s installationsmapper og forbindelser til infrastruktur kontrolleret af angriberne.