Przejęcie serwerów i zmiana plików konfiguracyjnych
Hakerzy naruszyli infrastrukturę serwerową firmy AOMEI, aby prowadzić kampanię ataku na łańcuch dostaw oprogramowania. Działania te miały miejsce między kwietniem a lipcem 2026 roku i dotyczyły systemu powiadomień oraz aktualizacji w aplikacji AOMEI Backupper przeznaczonej do tworzenia kopii zapasowych i klonowania dysków.
Badacze bezpieczeństwa ustalili, że sprawcy oznaczeni jako UNC7017 modyfikowali dwa konkretne pliki konfiguracyjne na serwerach dostawcy. Pierwszy z nich wskazywał lokalizację pakietów aktualizacji, a drugi odpowiadał za obsługę powiadomień. Krótkotrwałe modyfikacje pozwalały na przekierowanie oprogramowania na pobranie złośliwego archiwum ZIP i uruchomienie go bez interakcji ze strony użytkownika. Przestępcy zmieniali również sumy kontrolne plików, aby ominąć weryfikację poprawności.
Okna czasowe i dystrybuowane zagrożenia
Ataki dotknęły organizacje w Stanach Zjednoczonych, Australii, Indiach, Singapurze, Hiszpanii oraz Szwajcarii. Zagrożenie objęło sektory usług IT, telekomunikacji oraz szkolnictwa wyższego. Badacze zidentyfikowali trzy krótkie okresy, w których serwery serwowały zmodyfikowaną konfigurację.
28 maja złośliwe pliki były dostępne przez dziesięć minut, 16 lipca przez sześć minut, a 20 lipca przez pięć minut. Po tym czasie hakeri przywracali oryginalną zawartość plików, co utrudniało wykrycie incydentu. W trakcie tych okien czasowych system instalował program pobierający CROSSROAD oraz moduł tylnego wejścia o nazwie SHINYROAD. Dodatkowo podczas ataku 20 lipca zaobserwowano próbę kradzieży skrótów uwierzytelniających systemu Windows poprzez wymuszenie połączenia z zasobem WebDAV.
Reagowanie na incydent i działania naprawcze
Pierwsze podejrzenia pojawiły się 28 maja, gdy oprogramowanie zabezpieczające wykryło niespodziewaną instalację narzędzia zdalnej administracji Radmin inicjowaną przez procesy promocyjne aplikacji. Powiadomiona o sprawie firma ManageEngine przekazała zebrane dowody firmie AOMEI, wskazując na modyfikacje po stronie serwerów dostawcy.
Przedstawiciele AOMEI przeprowadzili własny przegląd i początkowo odrzucali te ustalenia, sugerując modyfikację ruchu w transcie, czemu zaprzeczyli badacze analizujący połączenia HTTPS. Po kolejnych dowodach dostawca oprogramowania podjął współpracę, zmodernizował serwery, załatał luki oraz zaangażował specjalistów ds. reagowania na incydenty. Eksperci ostrzegają jednak, że poprawka po stronie serwera zapobiega nowym infekcjom, ale nie usuwa złośliwego oprogramowania z komputerów, które zdążyły pobrać je w trakcie wcześniejszych incydentów.