Yedekleme ve sistem kurtarma yazılımları konusunda uzmanlaşmış AOMEI şirketinin altyapısı, gizli bir tedarik zinciri saldırısına maruz kaldı. Bilgisayar korsanları, AOMEI Backupper yazılımının güncelleme ve bildirim sunucularına ait yapılandırma dosyalarını manipüle ederek kullanıcıların haberi olmadan kötü amaçlı yazılımlar dağıtmayı başardı.
Saldırı kampanyası, ManageEngine ve Google Threat Intelligence Group'un yanı sıra Mandiant şirketinin güvenlik araştırma birimleri tarafından keşfedildi. Raporlar, UNC7017 olarak bilinen tehdit aktörünün, şirketin sunucularındaki yapılandırma dosyalarını geçici olarak manipüle edip sadece birkaç dakikalığına değiştirerek ve ardından saldırı izlerini gizlemek için dosyaları eski haline getirerek hassas saldırılar gerçekleştirdiğini belirtti.
Saldırının Detayları ve Dağıtım Mekanizması
Saldırganlar, 2026 yılının Mayıs ve Temmuz aylarında, sağlama toplamı (Checksum) değerlerini değiştirerek dosya bütünlüğü kontrollerini aşan modifiye edilmiş yapılandırma dosyalarını dağıtmak için kısa ve hızlı zaman dilimlerinden yararlandılar. Bu manipülasyon, yazılımın otomatik olarak uzaktan yönetim aracı (Radmin), CROSSROAD olarak bilinen yeni bir yükleyici ve SHINYROAD olarak adlandırılan bir arka kapı içeren kötü amaçlı içerikleri indirmesine neden oldu.
Kampanya; Amerika Birleşik Devletleri, Avustralya, Hindistan, Singapur, İspanya ve İsviçre dahil olmak üzere birçok ülkede bilgi ve iletişim teknolojileri ile yükseköğretim gibi sektörleri kapsayan çeşitli kurumları hedef aldı. Saldırılar sırasında bilgisayar korsanları, sistemi saldırganlar tarafından kontrol edilen WebDAV web kaynaklarına erişmeye zorlayarak Windows kimlik doğrulama özetlerini (NTLM hashes) çalmaya da çalıştılar.
Pratikte Neler Değişiyor?
Güvenlik birimleri, AOMEI'nin sunucularında yaptığı düzeltmelerin ve sistem güncellemelerinin gelecekteki yeni enfeksiyonları önlemeye yardımcı olduğunu, ancak önceki kısa maruz kalma pencerelerinde kullanıcıların cihazlarına zaten yüklenmiş olan kötü amaçlı yazılımları veya arka kapıları kaldırmadığını doğruladı.
Etkilenen kurumlar için önemli tavsiyeler:
- Güvenlik araştırma ekipleri tarafından yayınlanan ihlal göstergelerini gözden geçirin.
- Yazılımı kullanan cihazlardaki şüpheli zamanlanmış görevleri inceleyin.
- AOMEI Backupper kurulum yollarında beklenmedik yürütülebilir dosyaların bulunmadığını doğrulayın.
- Güvenlik raporlarında belirtilen şüpheli altyapılara yönelik giden ağ bağlantılarını izleyin.