AOMEI Backupper распространял вредоносное ПО через скомпрометированные серверы обновлений

Атакующие скомпрометировали инфраструктуру обновлений AOMEI Backupper

Google Threat Intelligence Group (GTIG) зафиксировала компрометацию инфраструктуры обновлений и уведомлений компании AOMEI Technology. Атака проводилась в период с апреля по июль. AOMEI Backupper — это программное обеспечение для резервного копирования, которым пользуются более 100 миллионов человек по всему миру. Программа позволяет создавать резервные копии файлов, копировать целые диски и восстанавливать данные.

Злоумышленники подменяли файлы обновлений для распространения вредоносного ПО

Атакующие кратковременно изменили инфраструктуру обновлений и уведомлений AOMEI. Они модифицировали инструкции по загрузке программного обеспечения, чтобы клиенты скачивали и запускали вредоносный ZIP-архив. Злоумышленники также подменяли номер ожидаемой версии и контрольную сумму MD5. Это позволяло клиентскому ПО принимать измененные файлы. Атакующие могли одновременно менять адрес загрузки и информацию для проверки, поскольку эти данные поступали из одного файла конфигурации.

Исследователи подтвердили три окна компрометации, длившиеся 10, 6 и 5 минут. Более короткие периоды атаки затрудняли ее обнаружение. Вредоносное ПО использовало начальный загрузчик для установки постоянного бэкдора с удаленным доступом. Этот бэкдор позволял злоумышленникам выполнять команды и устанавливать дополнительное вредоносное ПО. Это создавало риск дальнейших атак на зараженные компьютеры.

Пользователи AOMEI Backupper и AnyViewer могли пострадать

Вредоносное ПО распространялось через систему обновлений AOMEI Backupper. Та же система обслуживает клиентов AnyViewer. Отчет не уточняет, были ли подтверждены случаи заражения AnyViewer. Пользователи, использовавшие AOMEI Backupper в период атаки, могли подвергнуться риску.

Обновите ПО и проверьте систему на наличие вредоносного ПО

Пользователям AOMEI Backupper рекомендуется обновить программное обеспечение безопасности и запустить полное сканирование системы. Для проверки и удаления вредоносного ПО можно использовать Malwarebytes Free. Детектор AI-компонент Malwarebytes идентифицирует загрузчик upgrade-now.exe как Malware.AI.4006642887. Клиенты ThreatDown и Malwarebytes были защищены компонентом обнаружения в реальном времени.

Дополнительные признаки возможного заражения включают наличие задачи RadminComponentRuntime в Планировщике заданий Windows. Также стоит проверить папку установки AOMEI Backupper, особенно подпапки html и Tmphtml, на наличие файла upgrade-now.exe без цифровой подписи или неожиданного файла upgrade-now.zip. Отсутствие загрузчика не гарантирует чистоту системы, так как он удаляет себя после установки следующего этапа вредоносного ПО.

Подозрительный исходящий трафик на адреса promotion.storage-data.com, aomei.storage-data.com, storage-data.com, 8.210.84.56, 47.239.60.117 или 8.218.65.184 также может указывать на компрометацию.

При обнаружении признаков заражения рекомендуется обратиться за помощью к специалистам. При подозрении на активную компрометацию следует отключить компьютер от интернета и связаться с техническим специалистом, службой поддержки Malwarebytes или IT-отделом организации.