AOMEI Backupper: atac în lanțul de aprovizionare

De ce e greu de detectat?

Între aprilie și iulie, AOMEI Backupper a distribuit descărcări malițioase către utilizatorii săi în mai multe ferestre de compromitere scurte. Software-ul afectat este un instrument de backup, sincronizare și clonare de discuri pentru Windows, disponibil în ediții gratuite și plătite.

Este folosit de utilizatori particulari, firme și medii cu Windows Server.

Atacul a livrat un descărcător pentru backdoor-ul modular ShinyRoad. Cercetătorii descriu campania ca o compromitere a lanțului de aprovizionare în scurte rafale.

Asta înseamnă că malware-ul a fost injectat în pipeline-ul de actualizare a software-ului pentru perioade limitate. Utilizatorii care au făcut update în acele ferestre au primit payload-ul malițios.

Atacatorii au exploatat mecanismul de update al AOMEI Backupper.

În anumite intervale de timp, serverul de update a servit un instalator troianizat. Backdoor-ul ShinyRoad e modular, deci poate încărca payload-uri suplimentare după infecția inițială. Această arhitectură permite atacatorilor să adauge funcționalitate la distanță.

Ce trebuie să facă utilizatorii acum?

AOMEI declară că produsele sale sunt folosite de un număr mare de organizații. Compania a confirmat compromiterea și lucrează la remediere.

Cercetătorii de securitate avertizează că atacurile în scurte rafale sunt mai greu de detectat, pentru că codul malițios e prezent doar pentru durate limitate.

Utilizatorii care au actualizat AOMEI Backupper între aprilie și iulie ar trebui să verifice sistemele lor pentru semne de compromitere. Backdoor-ul ShinyRoad poate stabili acces persistent.

Organizațiile care folosesc software-ul în medii server sunt mai expuse, dat caracterul critic al acelor sisteme.

AOMEI îndeamnă utilizatorii afectați să aplice cea mai recentă versiune patch-uită. Compania a identificat numerele de build compromise și oferă o listă pentru verificare.

Experții în securitate recomandă verificarea proceselor neașteptate, a task-urilor programate noi și a conexiunilor de rețea necunoscute.

Cum a fost detectat atacul prin AOMEI Backupper?

Ce este ShinyRoad?

ShinyRoad e un backdoor modular care poate încărca payload-uri suplimentare după infecția inițială. Design-ul său modular permite atacatorilor să extindă funcționalitatea la distanță, fără a reinstala malware-ul principal.

Cât a durat compromiterea?

Atacul a avut loc în scurte rafale între aprilie și iulie. Fiecare fereastră de compromitere a fost scurtă, ceea ce face detectarea mai dificilă pentru echipele de securitate care monitorizează anomalii.

Ce ar trebui să facă utilizatorii acum?

Utilizatorii ar trebui să se actualizeze la cea mai recentă versiune patch-uită a AOMEI Backupper. Trebuie de asemenea să scaneze sistemele lor pentru semne ale backdoor-ului ShinyRoad și să verifice că nu există procese sau conexiuni de rețea neașteptate.