AOMEI Backupper celem krótkotrwałego ataku na łańcuch dostaw oprogramowania

securitybeztabu.pl 6 godzin temu

Wprowadzenie do problemu / definicja

Ataki na łańcuch dostaw systemu należą do najgroźniejszych incydentów w cyberbezpieczeństwie, ponieważ wykorzystują zaufanie użytkowników do legalnych aktualizacji, podpisanych komponentów i infrastruktury producenta. W przypadku AOMEI Backupper celem była aplikacja do tworzenia kopii zapasowych dla systemu Windows, a kampania wyróżniała się wyjątkowo krótkimi oknami manipulacji po stronie serwera aktualizacji.

Taki model działania znacząco utrudnia wykrycie naruszenia. Złośliwe zmiany były wprowadzane jedynie na kilka minut, po czym przywracano prawidłową zawartość, co ograniczało liczbę artefaktów i utrudniało analizę retrospektywną.

W skrócie

Badacze ustalili, iż między kwietniem a lipcem 2026 roku infrastruktura związana z AOMEI Backupper była okresowo modyfikowana w ramach kampanii typu supply chain. Zamiast trwałego podmienienia instalatorów lub procesu budowania oprogramowania, atakujący tymczasowo zmieniali pliki konfiguracyjne odpowiedzialne za aktualizacje i powiadomienia.

W praktyce oznaczało to, iż część klientów pobierała złośliwe archiwa i uruchamiała malware podszywające się pod legalny komponent aktualizacji. Łańcuch infekcji obejmował downloader CROSSROAD, modularny backdoor SHINYROAD, a w wybranych przypadkach także zmodyfikowane narzędzia zdalnej administracji oraz elementy frameworka post-exploitation Adaptix.

atak dotyczył zaufanego kanału aktualizacji,
okna manipulacji trwały zwykle od około 5 do 10 minut,
złośliwe pliki były dystrybuowane tylko tym klientom, którzy trafili na aktywne okno ataku,
w jednej z fal zaobserwowano również próbę pozyskania skrótów NetNTLMv2 przez WebDAV.

Kontekst / historia

Z ustaleń badaczy wynika, iż kampania była aktywna co najmniej od końca kwietnia 2026 roku. Potwierdzone okna manipulacji obejmowały między innymi 28 maja, 16 lipca i 20 lipca 2026 roku. Każde z nich miało charakter krótkotrwały, a po jego zakończeniu infrastruktura ponownie serwowała prawidłowe pliki.

To istotnie odróżnia ten incydent od bardziej klasycznych ataków na łańcuch dostaw, w których napastnicy utrzymują długotrwałą obecność w środowisku buildów, repozytoriach lub podpisanych pakietach aktualizacyjnych. Tutaj priorytetem była skrytość oraz ograniczenie liczby dowodów pozostawianych po stronie serwera i ofiar.

Aktywność została powiązana z klastrem śledzonym jako UNC7017. Wśród zidentyfikowanych ofiar znalazły się organizacje z sektorów szkolnictwa wyższego, usług IT i telekomunikacji, w tym podmioty działające w Stanach Zjednoczonych.

Analiza techniczna

Mechanizm ataku opierał się na nadużyciu legalnej logiki aktualizacji oraz mechanizmu treści promocyjnych klienta AOMEI Backupper. Kluczową rolę odegrały dwa zdalnie pobierane pliki konfiguracyjne: jeden odpowiadał za pobranie archiwum aktualizacyjnego, a drugi za lokalne wyświetlanie i wykonywanie określonych zasobów.

Podczas aktywnego okna atakujący modyfikowali konfigurację w taki sposób, aby klient pobierał archiwum ZIP z kontrolowanej lokalizacji, uznawał je za poprawne dzięki zmianie numeru wersji i deklarowanej sumy kontrolnej, a następnie automatycznie uruchamiał dostarczony plik wykonywalny z lokalnego katalogu roboczego.

Najpoważniejszą słabością okazał się model zaufania po stronie klienta. Konfiguracje sterujące pobieraniem i uruchamianiem zawartości nie były kryptograficznie uwierzytelniane, a wartość kontrolna archiwum była wskazywana w tym samym niezweryfikowanym pliku, który definiował źródło pobrania. W praktyce oznaczało to, iż czasowa manipulacja konfiguracją wystarczała, aby legalny klient zaakceptował złośliwy pakiet.

W jednej z fal ataku użyto także rozbudowanego pliku konfiguracyjnego zawierającego tysiące sekcji wypełniających. Taki zabieg miał zwiększyć prawdopodobieństwo wymuszenia ścieżki aktualizacji niezależnie od standardowych kontroli wersji i stanu aplikacji.

Dostarczany łańcuch złośliwego systemu był wieloetapowy. CROSSROAD pełnił rolę downloadera i komponentu przygotowującego środowisko, odpowiadając za sprawdzanie warunków uruchomienia, porządkowanie artefaktów, trwałość oraz pobieranie kolejnych ładunków. Następnie wdrażany był SHINYROAD, czyli modularny backdoor zapewniający zdalną kontrolę nad systemem. W wybranych scenariuszach wykorzystywano też narzędzia administracyjne, w tym zmodyfikowaną wersję Radmin Server ładowaną wraz ze złośliwą biblioteką DLL.

Szczególnie interesujący był wariant z 20 lipca 2026 roku. Zamiast zwykłego banera promocyjnego podstawiono niewidoczny komponent o rozmiarze 1×1 piksela z najwyższym priorytetem wykonania, który wymuszał pobranie zasobu przez ścieżkę WebDAV. Taka operacja mogła doprowadzić do wysłania skrótów NetNTLMv2 do infrastruktury kontrolowanej przez napastnika, tworząc mechanizm cichego wyłudzania poświadczeń.

Konsekwencje / ryzyko

Skala ryzyka w tym incydencie jest wielowarstwowa. Po pierwsze, kompromitacja kanału aktualizacji umożliwia infekcję bez typowych oznak pobrania podejrzanego pliku z nieznanego źródła. Po drugie, krótkie okna manipulacji znacząco utrudniają detekcję i analizę powłamaniową, ponieważ standardowe kontrole mogą nie zarejestrować złośliwej odpowiedzi serwera.

uzyskanie trwałego zdalnego dostępu do stacji roboczych i serwerów Windows,
uruchomienie kolejnych etapów post-exploitation,
kradzież poświadczeń poprzez wymuszenie uwierzytelnienia NTLM,
ruch boczny z wykorzystaniem zdobytych danych i narzędzi administracyjnych,
eskalacja uprawnień oraz utrata integralności środowiska.

Szczególnie niebezpieczne jest to, iż atak nie wymagał klasycznej luki zdalnego wykonania kodu w samym kliencie. Wystarczyło nadużycie funkcji przewidzianych przez producenta oraz brak silnej weryfikacji kryptograficznej konfiguracji i pobieranych artefaktów.

Rekomendacje

Organizacje korzystające z AOMEI Backupper powinny potraktować ten incydent jako potencjalne naruszenie zaufania do procesu aktualizacji w analizowanym okresie. najważniejsze jest przeprowadzenie ukierunkowanej weryfikacji telemetrycznej oraz przeglądu działań wykonywanych przez klienta aplikacji.

ustalić, czy systemy komunikowały się z infrastrukturą aktualizacyjną produktu od kwietnia do lipca 2026 roku,
przeanalizować zdarzenia procesowe związane z katalogami roboczymi aplikacji, zwłaszcza plikami typu upgrade-now.exe, archiwami ZIP oraz nietypowym uruchamianiem komponentów z katalogów html lub Tmphtml,
sprawdzić harmonogram zadań pod kątem nowych lub podejrzanych wpisów odpowiadających mechanizmom trwałości,
monitorować ruch wychodzący do nietypowych domen, zasobów chmurowych i połączeń WebDAV,
przejrzeć logi pod kątem prób uwierzytelnienia NTLM oraz możliwego wycieku skrótów NetNTLMv2,
zweryfikować obecność narzędzi takich jak Radmin Server, szczególnie jeżeli zostały zainstalowane poza standardowym procesem administracyjnym,
zaktualizować reguły EDR, IOC i detekcje behawioralne powiązane z łańcuchem CROSSROAD, SHINYROAD i Adaptix.

Z perspektywy producentów systemu ten przypadek pokazuje, iż samo użycie HTTPS nie stanowi wystarczającej ochrony. Niezbędne jest kryptograficzne uwierzytelnianie wszystkich plików konfiguracyjnych sterujących aktualizacją, separacja metadanych walidacyjnych od niezaufanej konfiguracji oraz ścisła kontrola ścieżek wykonywania zdalnie pobieranych treści.

Podsumowanie

Incydent dotyczący AOMEI Backupper pokazuje ewolucję ataków supply chain w kierunku krótkotrwałych, trudnych do uchwycenia manipulacji konfiguracyjnych. Napastnicy nie musieli trwale utrzymywać złośliwych plików na serwerach producenta ani ingerować w cały proces kompilacji. Wystarczyło kilka minut kontroli nad logiką aktualizacji, aby legalni klienci pobrali i uruchomili malware.

To ważne ostrzeżenie dla zespołów bezpieczeństwa i producentów oprogramowania. Zaufanie do kanału aktualizacji musi obejmować nie tylko podpis binariów, ale również integralność konfiguracji, metadanych oraz wszystkich mechanizmów sterujących wykonaniem kodu po stronie klienta.