Leverandørkjedeangrepet mot AOMEI brukte kortvarige endringer i filer på leverandørens servere til å spre skadevare gjennom Backupper-programvaren, ifølge sikkerhetsforskere. Angriperne gjenopprettet originalfilene i løpet av få minutter, noe som gjorde at senere kontroller fremsto som normale.
ManageEngines Threat Analysis Lab undersøkte kampanjen sammen med Googles Threat Intelligence Group og Mandiant. De knyttet aktiviteten til en trusselaktør som spores under betegnelsen UNC7017.
Den rapporterte kampanjen pågikk mellom april og juli 2026. Forskerne identifiserte berørte organisasjoner i flere land, men det fulle omfanget av kompromitteringen er fortsatt ukjent.
Uventet installasjon av fjernstyringsprogramvare utløste etterforskning
Forskerne oppdaget først mistenkelig aktivitet 28. mai, da AOMEI Backupper installerte Radmin hos to uavhengige selskaper i forskjellige land.
Radmin er et legitimt verktøy for fjernadministrasjon. Installasjonen vakte imidlertid bekymring fordi Backuppers prosesser for markedsføringsinnhold hadde startet den.
Disse prosessene henter normalt markedsføringsmateriell og varsler. Derfor førte deres involvering i installasjonen av fjernstyringsprogramvare til videre undersøkelser.
De første forsøkene på å gjenskape oppførselen mislyktes. I stedet kontaktet testsystemene AOMEIs servere og mottok legitime konfigurasjonsfiler.
Forskerne fastslo senere at angriperne bare endret filene i korte perioder før de gjenopprettet det opprinnelige innholdet.
To konfigurasjonsfiler muliggjorde stille installasjon av skadevare
Angriperne endret to filer som støttet Backuppers funksjoner for markedsføring og varsler: down_html.ini og Notifycfg.ini.
Den første instruerte applikasjonen om å laste ned et skadelig ZIP-arkiv. Samtidig brukte den andre varslingsmekanismen til å utløse kjøring uten brukerinteraksjon.
Angriperne endret også den forventede kontrollsummen i nedlastingskonfigurasjonen. Som følge av dette besto det skadelige arkivet applikasjonens filverifiseringskontroller.
Google klarte senere å gjenskape kjøringssekvensen i sine egne tester.
Denne metoden utnyttet en betrodd distribusjonskanal. I stedet for å overtale brukere til å åpne en urelatert nedlasting, fikk angriperne den installerte sikkerhetskopieringsprogramvaren til å hente og kjøre den skadelige koden.
Skadelige filer var tilgjengelige i bare noen minutter
Etter at den innledende etterforskningen ikke klarte å gjenskape angrepet, begynte ManageEngine å overvåke AOMEIs servere kontinuerlig.
Den 16. juli fanget overvåkingen opp skadelige konfigurasjonsendringer mens de fant sted. Forskerne identifiserte til slutt tre bekreftede eksponeringsperioder:
- 28. mai: 05.40–05.50 UTC, totalt 10 minutter.
- 16. juli: 08.33–08.39 UTC, totalt seks minutter.
- 20. juli: 10.35–10.40 UTC, totalt fem minutter.
Etter hver periode ble den opprinnelige konfigurasjonen gjenopprettet. Derfor kunne kontroller utenfor disse tidsrommene fullstendig overse det skadelige innholdet.
Google beskrev angrepene som opportunistiske. Ytterligere organisasjoner kan ha blitt eksponert for den skadelige koden dersom programvaren deres kontaktet den berørte infrastrukturen i løpet av disse korte periodene.
Blant de kjente ofrene var organisasjoner i USA, Australia, India, Singapore, Spania og Sveits. De berørte sektorene omfattet IT-tjenester, telekommunikasjon og høyere utdanning.
CROSSROAD og SHINYROAD etablerte vedvarende tilgang
Leverandørkjedeangrepet mot AOMEI spredte et tidligere ukjent nedlastingsprogram kalt CROSSROAD og en bakdør med navnet SHINYROAD.
CROSSROAD samlet inn informasjon om infiserte datamaskiner, lastet ned ytterligere komponenter og opprettet en planlagt oppgave for å opprettholde vedvarende tilgang.
Samtidig brukte SHINYROAD legitime Radmin-komponenter til å laste inn skadelig kode. Deretter etablerte den en utgående forbindelse til infrastruktur kontrollert av angriperne.
Denne forbindelsen kunne potensielt gjøre det mulig for angriperne å sende ytterligere kommandoer og levere flere skadelige komponenter.
Under aktiviteten 20. juli observerte Google også et forsøk på å samle inn Windows-autentiseringshasher. Et usynlig varslingsvindu dirigerte programvaren til en WebDAV-ressurs kontrollert av angriperne.
Dette kunne eksponere NTLM-autentiseringsmateriale for innsamling og mulig offline-knekking. Rapporten fastslår imidlertid ikke at angriperne lyktes med å gjenopprette passord.
Forskerne utfordret den opprinnelige forklaringen
ManageEngine varslet først AOMEI 7. juni. Selskapet antydet innledningsvis at noen kunne ha fanget opp og endret innholdet under overføringen.
Forskerne opplyste imidlertid at bevisene deres ikke støttet denne forklaringen. De berørte systemene hentet innholdet via HTTPS fra vertsnavn eid av AOMEI, på tvers av uavhengige nettverk i forskjellige land.
Den skadelige kjørbare filen ble også levert gjennom Backuppers egen utpakkingsprosess. Forskerne konkluderte derfor med at endringen hadde skjedd innenfor distribusjonskanalen som leverandøren driftet.
Etter å ha fanget opp aktiviteten 16. juli ga ManageEngine AOMEI de endrede filene, filsammenligninger og hasher. Selskapet satte også AOMEI i kontakt med Mandiant for å støtte den videre etterforskningen.
Serverendringer fjerner ikke skadevare fra allerede infiserte datamaskiner
AOMEI opplyste senere at selskapets tekniske team hadde oppgradert servere, rettet potensielle sårbarheter og kontrollert filene på serverne. Google rapporterte også at AOMEI bekreftet korrigerende tiltak 29. juli.
Etter at funnene ble publisert, opplyste AOMEI at selskapets teknologidirektør ledet en høyt prioritert etterforskning.
Selskapet hadde imidlertid ikke forklart hvordan angriperne fikk tilgang, eller bekreftet om det hadde løst den rapporterte kompromitteringen fullstendig.
ManageEngine understreket også at sikring av serverne ikke ville fjerne skadevare som allerede var installert på kundenes datamaskiner.
Organisasjoner som bruker Backupper, bør gjennomgå forskernes publiserte indikatorer på kompromittering. Relevante tegn inkluderer mistenkelige planlagte oppgaver, uventede kjørbare filer i AOMEIs installasjonsmapper og forbindelser til infrastruktur kontrollert av angriperne.
0 responses to “Leverandørkjedeangrep mot AOMEI brukte kortvarige serverendringer til å spre skadevare”