Хакери компрометират обновяването на софтуера на AOMEI за едва 5 минути, за да инсталират тайно задни врати

Краткотрайна промяна в системата за обновяване на софтуера на AOMEI предостави на киберпрестъпниците начин да доставят зловреден софтуер през надежден маршрут.

Google Threat Intelligence Group (GTIG) и Mandiant установиха, че атакуващите многократно са променяли настройките за обновяване на AOMEI само за няколко минути между април и юли 2026 г.

Всеки компютър с AOMEI Backupper, проверяващ за актуализации по време на активен прозорец, е можел да получи злонамерено изтегляне вместо автентично обновяване.

Операцията не е разчитала на софтуерна уязвимост и не е изисквала от потребителите да отварят подозрителен файл. Вместо това атакуващите са променили два конфигурационни файла на сървърите на AOMEI, пренасочвайки изтеглянията и използвайки функцията за известия на програмата, за да стартират зловредния код.

Засегнати организации са докладвани в няколко сектора и държави, включително Индия, въпреки че пълният брой на компрометираните системи не е известен.

Анализаторите от GTIG на Google Cloud и Mandiant проследиха веригата на зловредния софтуер като CROSSROAD и SHINYROAD и приписаха дейността на група от автори на заплахата, която наричат UNC7017.

Първоначалната активност беше открита за първи път чрез телеметрия, споделена от Threat Analysis Lab на ManageEngine, която наблюдава подозрително поведение в края на май. AOMEI съобщиха на Google, че са предприели коригиращи мерки за защита на сървърите си за дистрибуция.

Хакери превземат обновленията на софтуера на AOMEI

Процесът на обновяване на AOMEI използва down_html.ini, за да предостави версия на пакета, контролна сума и местоположение за изтегляне. Отделен файл, Notifycfg.ini, управлява услугата за известия, включително кои локални програми да се изпълняват.

По време на наблюдаваните периоди на манипулация атакуващите са променяли и двата файла, така че софтуерът да приема и стартира вредоносен ZIP архив.

Изследователите регистрираха три конкретни прозореца: десет минути на 28 май, шест минути на 16 юли и пет минути на 20 юли. Атакуващите са възстановявали първоначалните настройки след всеки прозорец.

Това направи обичайните проверки на активния сървър за обновления по-малко полезни: разследване, проведено по-късно, можеше да види само чистите файлове.

Методът се различава от инциденти, включващи манипулирани софтуерни версии или системи за компилиране; пробивът в актуализациите на Notepad++ е друг пример за атакуващи, насочващи се към канала, който доставя надежден софтуер.

Кратките интервали не направиха самия зловреден софтуер временен. Компютър, получил променените инструкции, можеше да продължи да изпълнява злонамерени файлове дори след като сървърите на AOMEI бяха поправени.

През юли атакуващите насочиха и едно изтегляне през публичен Google Cloud Storage контейнер след по-ранно използване на хранилище на Alibaba Cloud и домейни, проектирани да изглеждат свързани с AOMEI. Тази променяща се схема за доставка може да направи простите правила за блокиране на домейни по-малко надеждни.

Как е функционирала веригата от зловреден софтуер

Програмата от първи етап, CROSSROAD, пристигаше като upgrade-now.exe. Тя проверяваше параметри на компютъра и можеше да изтегля допълнителни файлове, да създава планирана задача и след това да изтрива собственото си копие.

Задачата стартираше легитимна програма Radmin на всеки три часа. Въпреки това процесът на Radmin беше поставен редом със създадена от атакуващия DLL библиотека, наречена BlkScrDl.dll, която той зареждаше при стартиране.

Тази DLL библиотека спомагаше за стартирането на SHINYROAD – задна врата, която можеше да комуникира със системите на атакуващите. По-късната активност включваше и ADAPTAGENT, клиент за рамката за командване и контрол Adaptix, маскиран като софтуер Nitro PDF.

Използването на реален административен софтуер и познати имена на продукти може да направи злонамерения процес по-труден за разграничаване от нормалната дейност.

Други скорошни инциденти, като например случаят със зловреден софтуер във веригата за доставки на DAEMON Tools, показват как атакуващите могат да злоупотребят с надеждни софтуерни канали, за да достигнат до потребителите.

На 20 юли атакуващите добавиха втори риск. Те използваха невидим прозорец за известия с размер от един пиксел, за да накарат клиент на AOMEI да направи заявка за отдалечен файл чрез WebDAV.

Тази заявка можеше да подтикне Windows да изпрати данни за автентикация NetNTLMv2 към контролиран от атакуващите сървър без видим подканващ прозорец. Тази техника е известна като принудително извличане на идентификационни данни (credential coercion): компютърът на жертвата бива подтикнат да направи опит за удостоверяване към отдалечено местоположение.

Корекцията на ниво сървър от страна на AOMEI не премахва файловете, които вече са инсталирани на засегнатите компютри. Организациите, използващи софтуер на AOMEI, трябва да прегледат записите от крайните точки и мрежата, обхващащи периода на кампанията, като обърнат специално внимание на необичайни дъщерни процеси на модула за обновяване, неочаквани планирани задачи, свързани с Radmin или Nitro, както и връзки към посочените по-долу индикатори.

Анализаторите трябва също така да проверят кешираните конфигурационни файлове на AOMEI и съответните логове от прокси сървъри или защитни стени, тъй като активният сървър вече може да връща легитимни настройки.

Инцидентът подчертава и структурен проблем при проектирането за производителите на софтуер: HTTPS и контролна сума, предоставена в неподписан конфигурационен файл, не са достатъчни, за да докажат, че дадено обновление е автентично.

Google препоръчва подписани конфигурационни файлове, криптографска проверка на изтеглените файлове и строги ограничения относно това с кои домейни може да се свързва модулът за актуализиране. Отделянето на промоционалните изскачащи прозорци от изпълнението на актуализациите също може да намали риска от злоупотреба с дадена функция за стартиране на код.

Случаят напомня на други краткотрайни инциденти във веригата за доставки, включително компрометирането на пакета LiteLLM, при което злонамерени версии бяха налични за ограничен период.

И в двете ситуации краткият прозорец на излагане все пак може да остави след себе си по-продължителна задача за реагиране при инциденти: откриване на засегнатите системи, оценка на това какво е било изпълнено и разследване дали идентификационни данни или друг достъп са били компрометирани.

Индикатори за компрометиране (IoCs):-

Хешове на злонамерени файлове

Други хешове на файлове и конфигурации

Мрежови и хост индикатори

Забележка: IP адресите и домейните са умишлено неутрализирани (напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановявайте ги само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.