اختراق خوادم AOMEI لنشر برمجيات خبيثة عبر AOMEI Backupper

كشف باحثون في مختبر تحليل التهديدات في ManageEngine، بالتعاون مع فريق استخبارات التهديدات في Google وMandiant، عن حملة اخترق فيها مهاجمون خوادم شركة AOMEI وعّدلوا مؤقتًا ملفَّي إعدادات فيها، هما down_html.ini وNotifycfg.ini، لتوجيه برنامج النسخ الاحتياطي AOMEI Backupper إلى تنزيل أرشيف ZIP خبيث. وأوردت bleepingcomputer.com تفاصيل الحملة التي نُسبت إلى جهة تهديد تُتابع باسم UNC7017.

وبحسب ما ورد، استُخدم التعديل على الملفين لإعادة توجيه AOMEI Backupper نحو الأرشيف الخبيث، مع الاستعانة بآلية الإشعارات لتنفيذ البرمجيات الخبيثة من دون أي تدخل من المستخدم. كما غيّر المهاجمون قيمة التحقق المتوقعة في إعدادات التحديث كي يجتاز الأرشيف الخبيث عملية التحقق من الملفات.

وزّعت الجهة المهاجمة أداة تنزيل برمجيات خبيثة لم تكن معروفة سابقًا باسم CROSSROAD، وبابًا خلفيًا باسم SHINYROAD، وفق ما ذكره الباحثون. ورصدت ManageEngine الهجمات لأول مرة في 28 مايو، حين شاهد برنامج الحماية على نقاط النهاية تثبيت AOMEI Backupper لأداة Radmin الإدارية في شركتين لا تربطهما صلة ببعضهما في بلدين مختلفين.

وحدّد الباحثون ثلاث نوافذ زمنية للتعرض: 28 مايو بين الساعة 05:40 و05:50 بتوقيت UTC، و16 يوليو بين 08:33 و08:39، و20 يوليو بين 10:35 و10:40. وأعاد المهاجمون ملفات الإعدادات إلى حالتها الأصلية في غضون دقائق. وخلال هجوم 20 يوليو رصدت Google محاولة لسرقة تجزئات مصادقة Windows عبر نافذة منبثقة خفية تصل إلى مورد WebDAV يسيطر عليه المهاجم.

وشملت المنظمات المتأثرة جهات في الولايات المتحدة وأستراليا والهند وسنغافورة وإسبانيا وسويسرا، تنشط في خدمات تقنية المعلومات والاتصالات والتعليم العالي.