Lieferkettenangriff auf AOMEI nutzte kurzzeitige Serveränderungen zur Verbreitung von Schadsoftware

Der Lieferkettenangriff auf AOMEI nutzte kurzzeitige Änderungen an Dateien auf den Servern des Anbieters, um über dessen Backupper-Software Schadsoftware zu verbreiten, berichten Sicherheitsforscher. Die Angreifer stellten die Originaldateien innerhalb weniger Minuten wieder her, sodass nachfolgende Überprüfungen unauffällig erschienen.

Das Threat Analysis Lab von ManageEngine untersuchte die Kampagne gemeinsam mit Googles Threat Intelligence Group und Mandiant. Sie ordneten die Aktivitäten einem Bedrohungsakteur zu, der unter der Bezeichnung UNC7017 verfolgt wird.

Die gemeldete Kampagne lief zwischen April und Juli 2026. Die Forscher identifizierten betroffene Organisationen in mehreren Ländern, doch das vollständige Ausmaß der Kompromittierung bleibt unbekannt.

Unerwartete Fernzugriffssoftware löste Untersuchung aus

Die Forscher entdeckten erstmals am 28. Mai verdächtige Aktivitäten, als AOMEI Backupper bei zwei unabhängigen Unternehmen in verschiedenen Ländern Radmin installierte.

Radmin ist ein legitimes Tool zur Fernadministration. Die Installation sorgte jedoch für Bedenken, da sie durch die Prozesse von Backupper zur Bereitstellung von Werbeinhalten ausgelöst worden war.

Diese Prozesse rufen normalerweise Werbematerialien und Benachrichtigungen ab. Ihre Beteiligung an der Installation von Fernzugriffssoftware führte daher zu weiteren Untersuchungen.

Erste Versuche, das Verhalten zu reproduzieren, scheiterten. Stattdessen kontaktierten die Testsysteme die Server von AOMEI und erhielten legitime Konfigurationsdateien.

Später stellten die Forscher fest, dass die Angreifer die Dateien jeweils nur kurzzeitig veränderten, bevor sie deren ursprünglichen Inhalt wiederherstellten.

Zwei Konfigurationsdateien ermöglichten unbemerkte Malware-Installation

Die Angreifer manipulierten zwei Dateien, die die Werbe- und Benachrichtigungsfunktionen von Backupper unterstützten: down_html.ini und Notifycfg.ini.

Die erste Datei wies die Anwendung an, ein schädliches ZIP-Archiv herunterzuladen. Die zweite nutzte unterdessen den Benachrichtigungsmechanismus, um die Ausführung ohne Benutzerinteraktion auszulösen.

Die Angreifer änderten außerdem die erwartete Prüfsumme in der Downloadkonfiguration. Dadurch bestand das schädliche Archiv die Dateiverifizierungsprüfungen der Anwendung.

Google konnte die Ausführungssequenz anschließend in eigenen Tests reproduzieren.

Diese Methode nutzte einen vertrauenswürdigen Verteilungsweg aus. Anstatt Benutzer dazu zu bringen, einen unabhängigen Download zu öffnen, veranlassten die Angreifer die installierte Backupsoftware, die Schadsoftware herunterzuladen und auszuführen.

Schädliche Dateien waren nur wenige Minuten verfügbar

Nachdem die anfängliche Untersuchung den Angriff nicht reproduzieren konnte, begann ManageEngine mit der kontinuierlichen Überwachung der AOMEI-Server.

Am 16. Juli erfasste die Überwachung die schädlichen Konfigurationsänderungen während ihres Auftretens. Schließlich identifizierten die Forscher drei bestätigte Zeitfenster, in denen eine Gefährdung möglich war:

• 28. Mai: 05:40–05:50 UTC, insgesamt 10 Minuten.
• 16. Juli: 08:33–08:39 UTC, insgesamt sechs Minuten.
• 20. Juli: 10:35–10:40 UTC, insgesamt fünf Minuten.

Nach jedem Zeitfenster wurde die ursprüngliche Konfiguration wiederhergestellt. Überprüfungen außerhalb dieser Zeiträume konnten die schädlichen Inhalte daher vollständig übersehen.

Google beschrieb die Angriffe als opportunistisch. Weitere Organisationen könnten mit den schädlichen Komponenten in Kontakt gekommen sein, wenn ihre Software während dieser kurzen Intervalle die betroffene Infrastruktur kontaktierte.

Zu den bekannten Opfern gehörten Organisationen in den USA, Australien, Indien, Singapur, Spanien und der Schweiz. Betroffene Branchen umfassten IT-Dienstleistungen, Telekommunikation und Hochschulbildung.

CROSSROAD und SHINYROAD ermöglichten dauerhaften Zugriff

Der Lieferkettenangriff auf AOMEI verbreitete einen zuvor unbekannten Downloader namens CROSSROAD und eine Backdoor mit der Bezeichnung SHINYROAD.

CROSSROAD sammelte Informationen über infizierte Computer, lud zusätzliche Komponenten herunter und erstellte eine geplante Aufgabe, um den dauerhaften Zugriff aufrechtzuerhalten.

SHINYROAD nutzte unterdessen legitime Radmin-Komponenten, um schädlichen Code zu laden. Anschließend stellte die Backdoor eine ausgehende Verbindung zu einer von den Angreifern kontrollierten Infrastruktur her.

Diese Verbindung konnte es den Angreifern potenziell ermöglichen, weitere Befehle zu übermitteln und zusätzliche Schadsoftware bereitzustellen.

Während der Aktivitäten am 20. Juli beobachtete Google außerdem einen Versuch, Windows-Authentifizierungshashes abzugreifen. Ein unsichtbares Benachrichtigungsfenster leitete die Software zu einer von den Angreifern kontrollierten WebDAV-Ressource weiter.

Dadurch konnten NTLM-Authentifizierungsdaten möglicherweise abgegriffen und anschließend offline geknackt werden. Der Bericht bestätigt jedoch nicht, dass die Angreifer tatsächlich Passwörter wiederherstellen konnten.

Forscher stellten die ursprüngliche Erklärung infrage

ManageEngine informierte AOMEI erstmals am 7. Juni. Das Unternehmen vermutete zunächst, dass jemand die Inhalte während der Übertragung abgefangen und verändert haben könnte.

Die Forscher erklärten jedoch, dass ihre Beweise diese Erklärung nicht stützten. Die betroffenen Systeme riefen die Inhalte über HTTPS von Hostnamen ab, die AOMEI gehörten. Dies geschah über voneinander unabhängige Netzwerke in verschiedenen Ländern.

Auch die schädliche ausführbare Datei wurde über den eigenen Entpackungsprozess von Backupper bereitgestellt. Die Forscher kamen daher zu dem Schluss, dass die Manipulation innerhalb des vom Anbieter gehosteten Verteilungswegs stattgefunden hatte.

Nachdem ManageEngine die Aktivitäten vom 16. Juli erfasst hatte, stellte das Unternehmen AOMEI die veränderten Dateien, Dateivergleiche und Hashwerte zur Verfügung. Außerdem vermittelte ManageEngine den Kontakt zu Mandiant, um die weiteren Untersuchungen zu unterstützen.

Serveränderungen entfernen keine Malware von bereits infizierten Computern

AOMEI erklärte später, dass sein technisches Team Server aktualisiert, potenzielle Schwachstellen behoben und die gehosteten Dateien überprüft habe. Google berichtete außerdem, dass AOMEI am 29. Juli die Durchführung von Korrekturmaßnahmen bestätigt hatte.

Nach der Veröffentlichung der Untersuchungsergebnisse erklärte AOMEI, dass der Chief Technology Officer des Unternehmens eine Untersuchung mit hoher Priorität leite.

Das Unternehmen hatte jedoch weder erklärt, wie die Angreifer Zugriff erlangt hatten, noch bestätigt, ob die gemeldete Kompromittierung vollständig behoben worden war.

ManageEngine betonte außerdem, dass die Absicherung der Server keine Schadsoftware entfernen würde, die bereits auf den Computern der Kunden installiert war.

Organisationen, die Backupper verwenden, sollten die von den Forschern veröffentlichten Kompromittierungsindikatoren überprüfen. Zu den relevanten Anzeichen gehören verdächtige geplante Aufgaben, unerwartete ausführbare Dateien in den Installationsverzeichnissen von AOMEI sowie Verbindungen zu einer von Angreifern kontrollierten Infrastruktur.