L'infrastructure d'AOMEI, spécialisée dans les logiciels de sauvegarde et de restauration système, a subi une attaque par chaîne d'approvisionnement furtive. Des pirates ont réussi à manipuler les fichiers de configuration des serveurs de mise à jour et de notification du logiciel AOMEI Backupper afin de diffuser des logiciels malveillants à l'insu des utilisateurs.
La campagne a été découverte par des unités de recherche en sécurité de ManageEngine, du Google Threat Intelligence Group, ainsi que de Mandiant. Les rapports indiquent que l'acteur de la menace, connu sous le nom de UNC7017, a mené des attaques précises en manipulant temporairement les fichiers de configuration sur les serveurs de l'entreprise, en les remplaçant pendant quelques minutes seulement avant de les rétablir pour masquer les traces de l'attaque.
Détails de l'attaque et mécanisme de distribution
Les attaquants ont exploité de courtes fenêtres temporelles en mai et juillet 2026 pour distribuer des fichiers de configuration modifiés qui ont contourné les tests d'intégrité des fichiers en modifiant les valeurs de hachage (Checksum). Cette manipulation a conduit le logiciel à télécharger automatiquement du contenu malveillant, incluant l'outil d'administration à distance (Radmin), un nouveau chargeur de logiciels malveillants connu sous le nom de CROSSROAD, ainsi qu'une porte dérobée baptisée SHINYROAD.
La campagne a ciblé diverses organisations dans plusieurs pays, notamment les États-Unis, l'Australie, l'Inde, Singapour, l'Espagne et la Suisse, touchant des secteurs tels que les technologies de l'information, les télécommunications et l'enseignement supérieur. Au cours des attaques, les pirates ont également tenté de voler des hachages d'authentification Windows (NTLM hashes) en forçant le système à accéder à des ressources Web (WebDAV) contrôlées par les attaquants.
Qu'est-ce qui change concrètement ?
Les autorités de sécurité ont confirmé que les correctifs appliqués par AOMEI sur ses serveurs et la mise à jour de ses systèmes contribuent à prévenir toute nouvelle infection future, mais ne suppriment pas les logiciels malveillants ou les portes dérobées déjà installés sur les appareils des utilisateurs durant les courtes fenêtres d'exposition précédentes.
Recommandations importantes pour les organisations touchées :
- Examiner les indicateurs de compromission publiés par les équipes de recherche en sécurité.
- Vérifier les tâches planifiées suspectes sur les appareils utilisant le logiciel.
- Vérifier l'absence de fichiers exécutables inattendus dans les répertoires d'installation d'AOMEI Backupper.
- Surveiller toute connexion réseau sortante vers les infrastructures suspectes identifiées dans les rapports de sécurité.