L'update channel di AOMEI Backupper ha distribuito una backdoor
Secondo Google Threat Intelligence Group (GTIG), Mandiant e il Threat Analysis Lab di ManageEngine, AOMEI Backupper ha distribuito una backdoor controllata da attaccanti attraverso il suo normale processo di update durante diversi brevi periodi tra maggio e luglio 2026. I computer Windows che hanno contattato i server di update durante quei periodi potrebbero aver scaricato ed eseguito il pacchetto malevolo senza ulteriori azioni da parte dell'utente.
AOMEI Backupper è un software di backup e disk-cloning che esegue servizi in background e contatta regolarmente i server di AOMEI tramite HTTPS, una connessione cifrata usata per trasferire traffico web. Il suo processo di update si basa su due file di testo. Il file down_html.ini identifica il pacchetto e contiene il relativo checksum, un valore usato per verificare se un file scaricato corrisponde alla copia prevista. Notifycfg.ini controlla le notifiche promozionali e indica al software che cosa visualizzare o eseguire.
Il programma non verificava crittograficamente nessuno dei due file. Il checksum era memorizzato nello stesso file non firmato che identificava il download, consentendo a un attaccante in grado di modificare entrambi i file sul server di sostituire un pacchetto e fornire un checksum corrispondente. ManageEngine ha dichiarato che non è stata sfruttata alcuna vulnerabilità software. Il pacchetto malevolo veniva recuperato attraverso i passaggi di update previsti dall'applicazione, collocato nella cartella di Backupper ed eseguito con i privilegi del processo AOMEI. Nei sistemi esaminati dal laboratorio, tali privilegi erano sufficienti per un'installazione a livello di sistema, anche se l'accesso disponibile dipendeva dal modo in cui era in esecuzione il servizio.
GTIG e Mandiant hanno confermato tre periodi di manomissione dei server: il 28 maggio dalle 05:40 alle 05:50 UTC, il 16 luglio dalle 08:33 alle 08:39 UTC e il 20 luglio dalle 10:35 alle 10:40 UTC. Ritengono che potrebbero essersi verificate altre finestre temporali. I computer che effettuavano il controllo immediatamente prima o dopo quei minuti ricevevano file autentici, rendendo difficile una successiva indagine. GTIG ha definito il targeting opportunistico, perché l'infezione dipendeva dal momento in cui ciascuna installazione contattava casualmente il server.
La telemetry di GTIG ha identificato organizzazioni colpite nei settori dei servizi IT, delle telecomunicazioni e dell'istruzione superiore in Australia, Brasile, India, Pakistan, Portogallo, Singapore, Sudafrica, Spagna, Svizzera, Türkiye e Stati Uniti. Non è stato fornito un totale e GTIG ha affermato che il numero reale era probabilmente più elevato. Il gruppo responsabile dell'attività è identificato da GTIG come UNC7017, ma non è stato associato ad alcun Paese o attore precedentemente noto. GTIG ha affermato che si trattava del primo software supply chain compromise incontrato dal gruppo che si basava su finestre di update Windows così brevi da evitare controlli point-in-time e scansioni automatizzate dei file.
I rilevamenti riguardano Backupper, anche se GTIG ha dichiarato che il software di remote desktop AnyViewer di AOMEI utilizza lo stesso flusso di update. Nessuno dei due report di ricerca identifica tutte le versioni di Backupper interessate. ManageEngine ha esaminato la versione 8.3.0. Il 16 ottobre, The Hacker News ha esaminato il changelog di AOMEI e non ha trovato alcuna modifica elencata per la verifica degli update fino alla versione 8.5.0, pubblicata il 9 ottobre. Nessuno dei due report identifica una release di Backupper che corregga la debolezza nella verifica.
Sui computer compromessi, un downloader chiamato CROSSROAD estraeva file in una cartella Radmin locale, creava una scheduled task eseguita ogni tre ore e poi si rimuoveva. I file includevano una copia legittima e firmata del programma di amministrazione remota Radmin. ManageEngine non ha trovato alcun listener attivo, configurazione o account appena creato per Radmin. La scheduled task avviava invece il programma firmato, che caricava una Dynamic Link Library (DLL) creata dall'attaccante e collocata nelle vicinanze, ossia un file contenente codice che un altro programma Windows può eseguire. Quel codice caricava SHINYROAD, un implant che forniva una remote command shell e la capacità di recuperare ed eseguire altro codice.
SHINYROAD comunicava con un unico indirizzo fisso e non disponeva di una destinazione di riserva, quindi il blocco di quell'indirizzo poteva interrompere il controllo dell'attaccante. CROSSROAD controllava anche la posizione del computer e si arrestava in Cina. ManageEngine ha affermato che si arrestava in presenza di determinati agent di sicurezza. Nei sistemi che superavano questi controlli, GTIG ha successivamente osservato il framework command-and-control (C2) open-source Adaptix, software usato per inviare istruzioni ai computer compromessi, distribuito mentre era camuffato da software Nitro PDF.
L'incidente del 20 luglio ha utilizzato anche un metodo che non richiedeva l'esecuzione di un programma. La configurazione alterata delle notifiche apriva una finestra invisibile di un pixel che accedeva tramite WebDAV a un file ospitato dall'attaccante, trattando i file remoti come se fossero locali. Windows poteva quindi trasmettere all'indirizzo dell'attaccante la risposta di autenticazione NetNTLMv2 dell'utente connesso. Tale risposta poteva potenzialmente essere riutilizzata o sottoposta a password cracking offline. Di conseguenza, un computer che bloccava la backdoor stessa poteva comunque divulgare materiale di autenticazione senza mostrare nulla all'utente.
ManageEngine ha dichiarato che il suo software endpoint ha rilevato per la prima volta l'attività il 28 maggio, quando Backupper ha installato Radmin presso due clienti non collegati tra loro in Paesi diversi. Un cliente ha segnalato l'evento il 7 giugno e il laboratorio ha informato AOMEI lo stesso giorno. Inizialmente AOMEI ha attribuito il contenuto alterato a un'intercettazione avvenuta durante il transito in rete, ma ManageEngine ha affermato che le prove non supportavano tale spiegazione. Entrambi i computer avevano utilizzato HTTPS per recuperare i file dai server di AOMEI attraverso il normale processo di update, pur trovandosi su reti diverse e in Paesi diversi. Successivamente, il laboratorio ha osservato in tempo reale una finestra di luglio e ha confermato che i file alterati venivano distribuiti dall'infrastruttura di AOMEI.
Mandiant ha informato AOMEI e fornito gli indicatori il 17 luglio. Il 29 luglio AOMEI ha comunicato a Mandiant di aver adottato misure correttive per proteggere i server. Al momento della pubblicazione del suo report, ManageEngine non aveva confermato in modo indipendente il contenimento. Il metodo utilizzato per ottenere l'accesso ai server rimane sconosciuto e la remediation lato server non rimuove il malware già installato sui sistemi Windows.
GTIG e ManageEngine raccomandano di esaminare le installazioni di AOMEI per l'intero periodo da aprile a luglio. Gli investigatori dovrebbero cercare scheduled task denominate RadminComponentRuntime o NitroRuntime, un file upgrade-now.exe non firmato contenente i dettagli dell'editore AOMEI, programmi avviati dalla cartella html pop-up di Backupper e file dell'attaccante nella cartella locale dei dati dell'applicazione Radmin. I file dell'applicazione conservati nella cache e i record di rete relativi all'ora esatta dell'avviso sono particolarmente importanti, perché il downloader ripristinava il file di update locale dopo aver stabilito la persistence.
Gli indicatori di rete pubblicati sono storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com, 8.210.84[.]56, 8.218.65[.]184 e 47.239.60[.]117. I report raccomandano inoltre di bloccare il traffico Server Message Block (SMB) in uscita sulla porta TCP 445 e le connessioni WebDAV esterne per limitare il metodo di sottrazione delle credenziali. GTIG ha pubblicato regole di rilevamento YARA, mentre ManageEngine ha fornito regole Sigma. The Hacker News ha dichiarato di non aver testato nessuno dei due set.