Через серверы AOMEI Backupper заражали компьютеры бэкдором

Программа для резервного копирования AOMEI Backupper несколько месяцев могла принести на компьютер бэкдор. Хакеры взломали серверы AOMEI и на считаные минуты подменяли два служебных файла, через которые программа получает рекламные и информационные сообщения. Скачать что-либо вручную пользователю не требовалось: хватало, чтобы Backupper был установлен и именно в эти минуты проверял обновления.

Как это работало

Первой тревогу подняла лаборатория ManageEngine Threat Analysis Lab. 28 мая её защитное ПО заметило, что Backupper сам устанавливает на компьютеры двух компаний из разных стран удалённый доступ Radmin. Дальше к расследованию подключились Google Threat Intelligence Group и Mandiant.

Злоумышленники правили файл down_html.ini, где указан адрес пакета для загрузки, и файл Notifycfg.ini, управляющий уведомлениями. Заодно они меняли контрольную сумму, поэтому проверка программы пропускала вредоносный архив. Через несколько минут файлы возвращали в исходный вид, чтобы не оставить следов. Окна заражения по времени UTC:

• 28 мая, 05:40–05:50;
• 16 июля, 08:33–08:39;
• 20 июля, 10:35–10:40.

Что попадало на компьютер

В архиве был загрузчик CROSSROAD: он собирает данные о системе, подтягивает остальные компоненты и закрепляется через задачу в планировщике. Следом шёл бэкдор SHINYROAD на базе компонентов Radmin, который связывается с сервером атакующих. 20 июля, по данным Google, была ещё попытка вынудить программу обратиться к чужому WebDAV-ресурсу и тем самым получить хэши паролей Windows. Жертвами стали организации в США, Австралии, Индии, Сингапуре, Испании и Швейцарии. Google называет атаки оппортунистическими, так что под удар мог попасть любой, чей Backupper проверял обновления в эти окна.

Что делать

AOMEI сообщила, что обновила серверы и проверила размещённые файлы, но как именно её взломали и полностью ли проблема закрыта, компания не подтвердила. Исправление на стороне сервера новые заражения остановило, а уже установленный бэкдор не удаляет. Если Backupper стоял на вашем компьютере (в атаках видели версию 8.3.0 и новее), сделайте три вещи:

• откройте «Планировщик заданий» и поищите незнакомые задачи, созданные в мае и июле;
• посмотрите папку установки AOMEI на лишние исполняемые файлы;
• сверьтесь с перечнем индикаторов в отчёте Google, в частности с адресом 8.210.84.56.

На компьютере, где нашлись следы, лучше сменить пароли и поставить систему заново. Подробнее о самой программе — на странице AOMEI Backupper, а для сравнения посмотрите бесплатный Macrium Reflect Free Edition.