Злоумышленники неоднократно подменяли файлы, которые AOMEI Backupper загружал с собственных серверов обновлений поставщика, в течение пяти-десяти минут в период с мая по июль 2026 года. Таким образом, любая копия программы резервного копирования Windows, проверяющая наличие обновлений в эти промежутки времени, загружала и запускала бэкдор. Группа Google Threat Intelligence Group, Mandiant и лаборатория ManageEngine’s Threat Analysis Lab, обнародовавшие информацию об этой кампании на этой неделе, сообщают, что AOMEI заявила об исправлении своих серверов, однако это исправление не удаляет бэкдор с уже зараженных машин.
AOMEI Backupper — это программа для резервного копирования и клонирования дисков для Windows, разработанная компанией AOMEI Technology, зарегистрированной в Гонконге. Как и инструмент удаленного доступа компании AnyViewer, она запускает фоновые службы, которые регулярно проверяют серверы AOMEI по HTTPS на наличие обновлений программного обеспечения и рекламных всплывающих окон.
За эту проверку отвечают два файла. Один, down_html.ini, содержит название пакета обновления для загрузки и контрольную сумму, которую программа использует для его проверки. Другой, Notifycfg.ini, указывает службе всплывающих окон, что отображать и что запускать.
Программа не выполняет криптографическую проверку ни одного из этих файлов, а контрольная сумма, которая должна подтверждать подлинность загрузки, находится в том же неподписанном файле, который ее указывает.
Никакие уязвимости в программном обеспечении не были использованы. Уязвимостей не было, и никаких действий от пользователя не требовалось, кроме установки и запуска программы, согласно данным лаборатории ManageEngine. Злоумышленнику достаточно было изменить два текстовых файла на сервере всего на несколько минут.
Копия Backupper, проверившая наличие обновлений в указанный промежуток времени, загружала пакет злоумышленника в свою папку, а файл уведомлений затем запускал его. Программа выполнялась с привилегиями процесса AOMEI, который ее запустил.
На исследованных лабораторией машинах этого было достаточно для установки программного обеспечения во всей системе, хотя, по их словам, повышение привилегий зависело от того, как работала служба AOMEI.
GTIG и Mandiant подтвердили три окна подмены и заявили, что, вероятно, были и другие, которые они не обнаружили:
Затронуты были только копии, проверявшие наличие обновлений в указанные промежутки времени. Копия, проверившая наличие обновлений до или после этого, получала чистые, подлинные файлы, что затрудняет обнаружение атаки. GTIG описала таргетинг как оппортунистический, нацеленный на любую систему, которая случайно обращалась к серверу в эти минуты.
По данным собственной телеметрии GTIG, были выявлены затронутые организации в сфере ИТ-услуг, телекоммуникаций и высшего образования в 11 странах: Австралии, Бразилии, Индии, Пакистане, Португалии, Сингапуре, Южной Африке, Испании, Турции и США. Общее число не было названо, и предполагается, что реальное число выше.
GTIG назвала AnyViewer, инструмент удаленного доступа от AOMEI, использующий тот же механизм обновления, но описанные ими обнаружения касаются Backupper. Ни один из отчетов не указывает, какие версии Backupper затронуты, а лаборатория исследовала версию 8.3.0.
GTIG отслеживает группу, стоящую за кампанией, как UNC7017, и не называет страну или известного актора. Они заявили, что это первый компрометация цепочки поставок на базе Windows, которую они встретили, “эффективно избегая традиционной точечной проверки и автоматического сканирования файлов”.
На машине, загрузившей пакет, загрузчик, который GTIG называет CROSSROAD, распаковал архив в локальную папку Radmin, создал запланированную задачу для запуска каждые три часа, а затем удалил себя с диска.
Архив включал подлинную, подписанную копию Radmin, коммерческого инструмента удаленного администрирования. Лаборатория ManageEngine обнаружила, что он был подготовлен, но никогда не включался, без прослушивателя, без конфигурации и без новой учетной записи. Удаленное управление осуществлялось вместо этого через отдельный имплант, который связывался со злоумышленником.
Запланированная задача запускает подписанную программу Radmin, которая загружает созданную злоумышленником DLL, размещенную рядом с ней, которая, в свою очередь, загружает имплант SHINYROAD. Имплант предоставляет удаленную оболочку и может загружать и запускать новый код по команде. Он связывается с единственным жестко закодированным адресом без резервного копирования, поэтому блокировка этого одного адреса отключает контроль злоумышленника.
CROSSROAD работает только в некоторых местах. Он проверяет местоположение машины и останавливается, если она находится в Китае, а ManageEngine добавила, что он также останавливается, если обнаруживает определенные агенты безопасности на хосте. На машинах, прошедших эти проверки, GTIG позже обнаружила второй инструмент, загруженный поверх SHINYROAD, — фреймворк с открытым исходным кодом Adaptix C2, замаскированный под программное обеспечение Nitro PDF.
Окно 20 июля включало второй трюк, который не требовал запуска какой-либо программы. GTIG обнаружила, что файл уведомлений был изменен для открытия невидимого однопиксельного всплывающего окна, указывающего на файл на сервере злоумышленника через WebDAV, способ доступа к удаленному файлу, как если бы он находился на локальном диске.
Отображение этого всплывающего окна может заставить Windows отправить ответ аутентификации NetNTLMv2 вошедшего в систему пользователя, токен, который злоумышленник может попытаться взломать офлайн или повторно использовать, на адрес злоумышленника без какого-либо видимого для пользователя уведомления. Поскольку никакой программы не требовалось запускать, машина с заблокированным бэкдором все равно могла бы утечь этот токен.
Лаборатория ManageEngine сообщила, что ее программное обеспечение для конечных точек впервые обнаружило эту активность 28 мая, когда она зафиксировала установку Radmin программой AOMEI Backupper у двух несвязанных клиентов в разных странах. Один из клиентов сообщил об этом 7 июня, и лаборатория уведомила AOMEI в тот же день. Первоначальное объяснение AOMEI заключалось в том, что контент был перехвачен и изменен во время передачи.
Лаборатория заявила, что доказательства не подтверждают это объяснение. Обе машины загрузили файлы по HTTPS с собственных серверов AOMEI, через разные страны и сети, и программа загрузила пакет в рамках обычных процедур обновления. В середине июля ее собственные мониторы зафиксировали одно из окон во время его возникновения, подтвердив, что изменение было предоставлено со стороны AOMEI.
Mandiant уведомила AOMEI 17 июля и предоставила индикаторы. AOMEI сообщила Mandiant 29 июля, что приняла корректирующие меры для защиты своих серверов. Лаборатория ManageEngine заявила, что на момент публикации они не смогли независимо подтвердить, что компрометация была локализована.
Ни один из отчетов не указывает, как злоумышленник получил возможность изменять файлы на серверах AOMEI. Опубликованный AOMEI журнал изменений для Backupper, проверенный The Hacker News 16 октября, не содержит изменений в том, как программа проверяет обновления через текущий выпуск, 8.5.0, от 9 октября. Ни один из отчетов не указывает на версию, которая закрывает эту уязвимость.
Исправленный сервер не очищает зараженную машину. Загрузчик установил свою запланированную задачу, а затем восстановил локальный файл обновления до его исходного содержимого, поэтому зараженная машина может выглядеть нормально, в то время как страница загрузки поставщика также выглядит чистой. GTIG и ManageEngine настоятельно рекомендуют организациям, использующим программное обеспечение AOMEI, провести поиск за весь период с апреля по июль.
“Организации, использующие программное обеспечение AOMEI, не могут полагаться на защиту только потому, что поставщик принял корректирующие меры на стороне сервера”, — заявили GTIG и Mandiant.
Не оценивайте оповещение, проверяя страницу загрузки поставщика сейчас. Поскольку файлы менялись обратно в течение нескольких минут, эта страница почти всегда предоставляет подлинный контент, что привело к тому, что аналитики ошибочно приняли реальные обнаружения за ложные срабатывания. Сохраняйте файлы, кэшированные в собственных папках программы, и проверяйте сетевые журналы, чтобы узнать, что было предоставлено в точный момент срабатывания оповещения.
На конечной точке ищите:
* Запланированные задачи, созданные между маем и июлем.
* Файлы DLL, загруженные в папку Radmin.
* Необычные сетевые подключения, исходящие от процессов Radmin.
В сети блокируйте инфраструктуру злоумышленника, указанную в обоих отчетах, и блокируйте исходящие SMB (TCP 445) и WebDAV на внешние адреса, чтобы предотвратить трюк с учетными данными:
* Блокируйте IP-адреса, связанные с инфраструктурой C2.
* Блокируйте доступ к внешним серверам WebDAV.
GTIG и ManageEngine опубликовали правила обнаружения вместе со своими отчетами: правила YARA от GTIG и правила Sigma от лаборатории. Оба набора являются собственными разработками исследователей и не были протестированы The Hacker News.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
