Сервери AOMEI використали для поширення шкідливого ПЗ через оновлення

Невідомі зловмисники, ймовірно, скомпрометували сервери AOMEI та використали вбудовані механізми оновлень і сповіщень програми AOMEI Backupper для поширення шкідливого програмного забезпечення. Кампанія тривала з квітня до липня 2026 року та була націлена на користувачів Windows-застосунку для резервного копіювання даних, клонування дисків і відновлення систем.

Як повідомляє BleepingComputer, дослідники ManageEngine Threat Analysis Lab працювали над розслідуванням разом із Google Threat Intelligence Group і Mandiant. Активність пов’язують із суб’єктом загроз UNC7017, який поширював раніше невідомий завантажувач CROSSROAD і бекдор SHINYROAD.

Короткі вікна поширення

Дослідники зафіксували три періоди, коли сервери AOMEI віддавали змінені конфігураційні файли: 28 травня протягом 10 хвилин, 16 липня протягом шести хвилин і 20 липня протягом п’яти хвилин. Після цього файли повертали до первісного стану, що ускладнювало виявлення втручання.

Зловмисники тимчасово змінили два файли, що керують рекламними повідомленнями та сповіщеннями в AOMEI Backupper. Один із них визначав адресу завантаження пакетів оновлень, інший міг запускати вміст на комп’ютері. Через ці зміни програма завантажувала шкідливий ZIP-архів, а механізм сповіщень запускав його без взаємодії користувача. Також атакувальники підмінили контрольну суму в конфігурації, щоб архів пройшов перевірку цілісності.

Можливості шкідливих програм

CROSSROAD збирав дані про заражений комп’ютер, завантажував додаткові компоненти та закріплювався в системі через заплановане завдання. SHINYROAD використовував легітимні компоненти засобу віддаленого адміністрування Radmin для завантаження шкідливого коду й встановлення вихідного з’єднання із сервером управління зловмисників. Це потенційно давало їм можливість запускати додаткові команди та компоненти.

Під час епізоду 20 липня Google також виявила спробу викрадення хешів автентифікації Windows: система сповіщень мала звертатися до контрольованого зловмисниками ресурсу WebDAV через невидиме вікно. Уражені організації виявили у США, Австралії, Індії, Сінгапурі, Іспанії та Швейцарії, зокрема в ІТ-секторі, телекомунікаціях і вищій освіті.

AOMEI заявила, що розглядає інцидент як пріоритетний, а внутрішнє розслідування очолює технічний директор компанії. За даними дослідників, компанія оновила сервери, усунула потенційні вразливості та перевірила розміщені файли. Водночас виправлення на стороні сервера не видаляє шкідливе ПЗ із комп’ютерів, які отримали його під час попередніх вікон атаки.