Die Infrastruktur von AOMEI, einem auf Backup- und Systemwiederherstellungssoftware spezialisierten Unternehmen, wurde Opfer eines verdeckten Lieferkettenangriffs. Hacker konnten die Konfigurationsdateien der Update- und Benachrichtigungsserver der Software AOMEI Backupper manipulieren, um ohne Wissen der Benutzer Malware zu verbreiten.
Die Kampagne wurde von Sicherheitsforschungsteams der Unternehmen ManageEngine und Google Threat Intelligence Group sowie von Mandiant entdeckt. Berichten zufolge führte die als UNC7017 bekannte Bedrohungsakteure präzise Angriffe durch, indem sie die Konfigurationsdateien auf den Servern des Unternehmens vorübergehend manipulierte, sie nur für wenige Minuten ersetzte und dann in ihren ursprünglichen Zustand zurückversetzte, um die Spuren des Angriffs zu verwischen.
Details des Angriffs und Verteilungsmechanismus
Die Angreifer nutzten kurze, blitzartige Zeitfenster in den Monaten Mai und Juli 2026, um modifizierte Konfigurationsdateien zu verteilen, die die Integritätsprüfungen durch Anpassung der Prüfsummen (Checksum) umgingen. Diese Manipulation führte dazu, dass die Software automatisch schädliche Inhalte herunterlud, darunter das Fernverwaltungstool Radmin, einen neuen Loader namens CROSSROAD sowie eine Backdoor namens SHINYROAD.
Die Kampagne zielte auf verschiedene Organisationen in mehreren Ländern ab, darunter die Vereinigten Staaten, Australien, Indien, Singapur, Spanien und die Schweiz, und betraf Sektoren wie Informations- und Kommunikationstechnologie sowie Hochschulbildung. Während der Angriffe versuchten die Hacker zudem, Windows-Authentifizierungs-Hashes (NTLM-Hashes) zu stehlen, indem sie das System zwangen, auf von den Angreifern kontrollierte Webressourcen (WebDAV) zuzugreifen.
Was ändert sich in der Praxis?
Die Sicherheitsbehörden bestätigten, dass die von AOMEI an seinen Servern vorgenommenen Korrekturen und Systemaktualisierungen dazu beitragen, zukünftige Infektionen zu verhindern. Sie entfernen jedoch nicht die Malware oder Backdoors, die bereits während der vorangegangenen kurzen Expositionsfenster auf den Geräten der Benutzer installiert wurden.
Wichtige Empfehlungen für betroffene Organisationen:
- Überprüfung der von den Sicherheitsforschungsteams veröffentlichten Indikatoren für eine Kompromittierung (IoCs).
- Untersuchung verdächtiger geplanter Aufgaben auf Geräten, auf denen die Software verwendet wird.
- Überprüfung auf unerwartete ausführbare Dateien innerhalb der Installationspfade von AOMEI Backupper.
- Überwachung ausgehender Netzwerkverbindungen zu verdächtigen Infrastrukturen, die in den Sicherheitsberichten identifiziert wurden.