AOMEI Backupper: kártevő a frissítési rendszeren át

Az AOMEI Backupper Windows-alkalmazás adatmentéshez, lemezklónozáshoz és rendszer-visszaállításhoz. A kutatók szerint 2026 áprilisa és júliusa között támadók a gyártó szervereit használták arra, hogy a program frissítési és értesítési rendszerén át kártevőt juttassanak a gépekre. Az AOMEI Backupper felhasználóinak érdemes most átnézni a gépeiket, mert a szerveroldali javítás a már bejutott kártevőt nem távolítja el.

Mi történt az AOMEI Backupper frissítéseivel

A támadásokat a ManageEngine fenyegetéselemző laborjának kutatói fedezték fel, a Google Threat Intelligence Group és a Mandiant közreműködésével. A Google és a ManageEngine jelentése egy UNC7017 néven követett csoportnak tulajdonítja a kampányt.

A támadók nem cserélték le véglegesen a fájlokat a szervereken, csak néhány percre módosítottak két konfigurációs fájlt, amelyet a program reklám- és értesítési funkciója használ. Az egyik a frissítőcsomagok letöltési helyét adja meg, a másik az értesítéseket vezérli, és tartalmat is el tud indítani a gépen. Így a kártevő a frissítési rendszeren át jutott el a gépekre: a módosítás után a program egy kártékony tömörített fájlt töltött le, az értesítési mechanizmus pedig felhasználói beavatkozás nélkül elindította. A támadók a várt ellenőrzőösszeget is átírták, így a fájl átment a program ellenőrzésén.

A kutatók három időablakot azonosítottak, amikor a szerverek a módosított fájlt küldték:

• május 28.: 10 perc;
• július 16.: 6 perc;
• július 20.: 5 perc.

A Google szerint a támadások alkalomszerűek voltak, és további szervezeteket is érinthettek, amelyeknél a program éppen ezekben a percekben kereste a frissítéseket. Érintett szervezeteket több országban találtak, köztük az Egyesült Államokban, Ausztráliában, Indiában, Szingapúrban, Spanyolországban és Svájcban, informatikai szolgáltatóknál, távközlési cégeknél és felsőoktatási intézményeknél.

Mit csinált a kártevő a gépen

A gépekre a CROSSROAD nevű letöltőprogram és a SHINYROAD nevű hátsó kapu került. A CROSSROAD felmérte a gépet, további összetevőket töltött le, és ütemezett feladattal rögzítette magát a rendszerben. A SHINYROAD a legitim Radmin távfelügyeleti program összetevőivel töltötte be a kártékony kódot, és kapcsolatot épített ki a támadók vezérlőszerverével. Ez lehetővé tette, hogy a támadók további parancsokat futtassanak a gépen.

Július 20-án a Google egy második módszert is megfigyelt: egy láthatatlan felugró ablakon át a program a támadók WebDAV (Web Distributed Authoring and Versioning, webes fájlkezelési protokoll) erőforrásához kapcsolódott. Így kiszivároghattak a Windows hitelesítési adatainak NTLM (NT LAN Manager) kivonatai, amelyeket a támadók később különféle eszközökkel feltörhetnek.

Mit lépett az AOMEI

A ManageEngine június 7-én értesítette először a gyártót. Az AOMEI kezdetben felvetette, hogy a tartalmat útközben módosították, ezt a kutatók a bizonyítékok alapján nem fogadták el. A Mandiant július 17-én jelezte a konfigurációs fájlok manipulálását, az AOMEI július 29-én válaszolt, hogy megtette a szükséges lépéseket. A cég szerint frissítette a szervereit, javította a lehetséges sebezhetőségeket, és ellenőrizte, hogy a tárolt fájlok helyesek. Azt nem erősítette meg, hogyan jutottak be a támadók, és hogy az ügy teljesen lezárult-e; a technológiai igazgató vezetésével belső vizsgálat folyik.

Mit érdemes ellenőrizni az AOMEI Backupper gépeken

A szerveroldali javítás megállítja az új fertőzéseket, de a korábbi időablakokban bejutott hátsó kaput nem távolítja el. Ahol az AOMEI Backupper fut, érdemes:

• a telepített alkalmazások között megnézni, van-e Radmin, amelyet senki nem telepített szándékosan;
• a Windows ütemezett feladatai között keresni ismeretlen bejegyzést;
• teljes víruskeresést futtatni naprakész vírusirtóval;
• gyanús találatnál a gépet fertőzöttnek tekinteni, leválasztani a hálózatról, és a rajta használt jelszavakat egy másik, tiszta gépről megváltoztatni.

A kutatók a támadásokhoz használt hálózati címeket és gépneveket is közzétették, ezeket céges környezetben a tűzfal naplójában is érdemes megkeresni. Több irodai gépnél ez a céges gépek rendszergazdai felügyelete keretében egyszerre elvégezhető.

Kép: hard drive mechanism, szerző: marsupium photography, licenc: CC BY-SA 2.0, forrás: Flickr

Forrás: Hackers hijack AOMEI update servers to secretly spread malware (BleepingComputer)