Злоумышленники несколько раз на короткое время подменяли файлы, которые программа резервного копирования AOMEI Backupper получает с серверов обновлений AOMEI. Каждая подмена длилась от пяти до десяти минут. Копия программы, которая проверяла обновления в эти минуты, скачивала и запускала бэкдор.
Изображение: The Hacker News
Атаку описали Google Threat Intelligence Group и Mandiant 15 октября и лаборатория ManageEngine 16 октября. По их данным, кампания шла с апреля по июль 2026 года. AOMEI сообщила, что защитила свои серверы, но уже зараженные компьютеры это не лечит.
Как работала атака
AOMEI Backupper и программа удаленного доступа AnyViewer того же разработчика в фоне обращаются к серверам AOMEI по HTTPS за обновлениями и рекламными уведомлениями. Для этого служат два файла настроек. Файл down_html.ini указывает, какой пакет скачать, и содержит его контрольную сумму MD5. Файл Notifycfg.ini сообщает службе уведомлений ABNotify.exe, что показать и что запустить из папки программы.
Программа не проверяет подлинность этих файлов, а контрольная сумма пакета записана в том же неподписанном файле, который указывает на сам пакет. Уязвимостей в программе злоумышленникам не понадобилось: достаточно было на несколько минут изменить два текстовых файла на сервере. Пользователю ничего делать не требовалось – хватало того, что программа установлена и работает.
Обычная проверка обновлений и подмена файлов настроек. Изображение: Google Threat Intelligence Group
Google и Mandiant подтвердили три таких окна: 28 мая с 05:40 до 05:50, 16 июля с 08:33 до 08:39 и 20 июля с 10:35 до 10:40 по UTC. Скорее всего, подмен было больше. Копии программы, которые проверяли обновления до или после окна, получали настоящие файлы, поэтому атаку было трудно заметить. По словам Google, это первый известный ей случай атаки на цепочку поставок с такими короткими окнами подмены.
Что устанавливалось на компьютер
На зараженном компьютере загрузчик, которого Google называет CROSSROAD, распаковывал набор файлов в папку Radmin, создавал задачу планировщика RadminComponentRuntime с запуском каждые три часа и удалял сам себя. Задача запускает подлинную подписанную программу Radmin, рядом с которой лежит подложная библиотека DLL. Она загружает бэкдор SHINYROAD, который дает злоумышленникам удаленную командную строку и может скачивать и запускать новый код. Загрузчик работал с правами процесса AOMEI, который его запустил.
Цепочка заражения: первые три шага – обычная работа программы, дальше выполняется код злоумышленников. Изображение: ManageEngine
Загрузчик проверял, где находится компьютер, и не срабатывал в Китае, а по данным ManageEngine – и при наличии некоторых защитных программ. С июля на часть зараженных компьютеров поверх бэкдора устанавливался открытый фреймворк Adaptix C2 под видом программы Nitro PDF с задачей планировщика NitroRuntime.
20 июля злоумышленники добавили еще один прием. Файл уведомлений открывал невидимое окно размером в один пиксель с файлом на сервере злоумышленников по протоколу WebDAV. При этом Windows могла отправить на этот сервер хеш NetNTLMv2 пароля вошедшего пользователя – без запуска каких-либо программ и незаметно для него.
Кто пострадал и что ответила AOMEI
Google нашла пострадавшие организации в сфере ИТ-услуг, телекоммуникаций и высшего образования в 11 странах: Австралии, Бразилии, Индии, Пакистане, Португалии, Сингапуре, ЮАР, Испании, Швейцарии, Турции и США. Атака при этом была неадресной: вредоносные файлы получал любой компьютер, который проверял обновления во время подмены, поэтому пострадавших, вероятно, больше. Группу злоумышленников Google обозначает как UNC7017 и ни к одной стране ее не привязывает. ManageEngine наблюдала заражение на AOMEI Backupper версии 8.3.0 и новее.
ManageEngine впервые заметила активность 28 мая и сообщила AOMEI 7 июня. Сначала компания объяснила случившееся подменой данных при передаче, но, по данным лаборатории, файлы скачивались по HTTPS напрямую с серверов AOMEI. Mandiant уведомила AOMEI 17 июля, а 29 июля компания ответила, что приняла меры для защиты серверов. Как злоумышленники получили доступ к серверам, в отчетах не сказано. В журнале изменений AOMEI Backupper вплоть до версии 8.5.0 от 9 октября изменений в проверке обновлений нет.
Как проверить компьютер
Исправление на стороне сервера не удаляет бэкдор с уже зараженных компьютеров. Загрузчик возвращал локальные файлы настроек в исходное состояние, поэтому компьютер может выглядеть нормально. Если у вас установлены AOMEI Backupper или AnyViewer, проверьте систему. Откройте Терминал Windows от имени администратора и выполните команды.
Поиск задач планировщика, которые создает вредоносная программа:
Get-ScheduledTask | Where-Object TaskName -in 'RadminComponentRuntime','NitroRuntime'
Поиск папок с файлами злоумышленников в профилях пользователей:
Get-Item 'C:\Users\*\AppData\Local\Radmin','C:\Users\*\AppData\Local\Nitro Pro','C:\Windows\System32\config\systemprofile\AppData\Local\Radmin' -ErrorAction SilentlyContinue
Обе команды на чистой системе с установленным AOMEI Backupper 8.5.0 ничего не выводят. Изображение: Comss.ru
Если обе команды ничего не вывели, следов, описанных в отчетах, на компьютере нет. Папка Radmin может появиться и при обычной установке Radmin, поэтому, если вы пользуетесь этой программой, ориентируйтесь в первую очередь на задачу RadminComponentRuntime.
Если задача или папки нашлись, отключите компьютер от сети, проверьте систему антивирусом и смените пароль учетной записи Windows: 20 июля злоумышленники пытались получить его хеш. Организациям Google и ManageEngine рекомендуют проверить журналы за весь период с апреля по июль и заблокировать исходящие подключения по SMB (порт 445) и WebDAV к внешним адресам.
Кроме задач планировщика, на заражение указывают файлы BlkScrDl.dll, csvc\RuntimeComponent.dll, config.zip и metadata.dat в папке Radmin, а также Eztwain4.dll и NitroPromotion.exe в папке Nitro Pro. Вредоносный upgrade-now.exe не подписан, а в его свойствах указан продукт с опечаткой – AOMEI Update Compent. Администраторам стоит заблокировать адреса 8.210.84[.]56, 8.218.65[.]184 и 47.239.60[.]117, домен storage-data[.]com с поддоменами и хранилище serv.oss-cn-hongkong.aliyuncs[.]com (точки в квадратных скобках поставлены, чтобы адреса не превращались в ссылки, – перед вставкой в правила их нужно убрать). Хеши файлов и правила YARA для поиска приведены в отчетах.
