Инфраструктура компании AOMEI, специализирующейся на программном обеспечении для резервного копирования и восстановления системы, подверглась скрытой атаке на цепочку поставок. Хакеры смогли манипулировать конфигурационными файлами серверов обновлений и уведомлений программы AOMEI Backupper для распространения вредоносного ПО без ведома пользователей.
Кампанию обнаружили исследовательские группы по безопасности из компаний ManageEngine и Google Threat Intelligence Group, а также компания Mandiant. В отчетах указано, что хакерская группировка, известная как UNC7017, проводила точечные атаки путем временной подмены конфигурационных файлов на серверах компании, заменяя их всего на несколько минут, а затем возвращая в исходное состояние, чтобы скрыть следы атаки.
Детали атаки и механизм распространения
Злоумышленники использовали короткие и быстрые временные интервалы в мае и июле 2026 года для распространения модифицированных конфигурационных файлов, которые проходили проверку целостности за счет изменения значений контрольных сумм (Checksum). Эти манипуляции приводили к тому, что программа автоматически загружала вредоносный контент, включая инструмент удаленного управления (Radmin), новый загрузчик под названием CROSSROAD, а также бэкдор, получивший название SHINYROAD.
Кампания была направлена на различные организации в ряде стран, включая США, Австралию, Индию, Сингапур, Испанию и Швейцарию, и затронула такие секторы, как информационно-коммуникационные технологии и высшее образование. В ходе атак злоумышленники также пытались похитить хеши аутентификации Windows (NTLM hashes), принуждая систему обращаться к веб-ресурсам (WebDAV), контролируемым атакующими.
Что меняется на практике?
Органы безопасности подтвердили, что исправления, внесенные компанией AOMEI на своих серверах, и обновление систем способствуют предотвращению новых заражений в будущем, однако они не удаляют вредоносное ПО или бэкдоры, которые уже были установлены на устройствах пользователей в течение предыдущих коротких окон уязвимости.
Важные рекомендации для пострадавших организаций:
- Изучить индикаторы компрометации, опубликованные исследовательскими группами по безопасности.
- Проверить наличие подозрительных запланированных задач на устройствах, использующих данное ПО.
- Убедиться в отсутствии неожиданных исполняемых файлов в путях установки AOMEI Backupper.
- Отслеживать любые исходящие сетевые соединения с подозрительной инфраструктурой, указанной в отчетах по безопасности.