Через сервери AOMEI Backupper заражали комп'ютери бекдором

Програма для резервного копіювання AOMEI Backupper кілька місяців могла принести на комп'ютер бекдор. Хакери зламали сервери AOMEI й на лічені хвилини підмінювали два службові файли, через які програма отримує рекламні та інформаційні повідомлення. Завантажувати щось уручну користувачеві не доводилося: вистачало, щоб Backupper був установлений і саме в ці хвилини перевіряв оновлення.

Як це працювало

Першою тривогу здійняла лабораторія ManageEngine Threat Analysis Lab. 28 травня її захисне ПЗ помітило, що Backupper сам установлює на комп'ютери двох компаній із різних країн віддалений доступ Radmin. Далі до розслідування долучилися Google Threat Intelligence Group і Mandiant.

Зловмисники правили файл down_html.ini, де вказано адресу пакета для завантаження, і файл Notifycfg.ini, що керує сповіщеннями. Заодно вони змінювали контрольну суму, тому перевірка програми пропускала шкідливий архів. За кілька хвилин файли повертали до початкового вигляду, щоб не лишити слідів. Вікна зараження за часом UTC:

• 28 травня, 05:40–05:50;
• 16 липня, 08:33–08:39;
• 20 липня, 10:35–10:40.

Що потрапляло на комп'ютер

В архіві був завантажувач CROSSROAD: він збирає дані про систему, підтягує решту компонентів і закріплюється через завдання в планувальнику. Слідом ішов бекдор SHINYROAD на основі компонентів Radmin, який зв'язується із сервером атакувальників. 20 липня, за даними Google, була ще спроба змусити програму звернутися до чужого WebDAV-ресурсу й так отримати хеші паролів Windows. Жертвами стали організації в США, Австралії, Індії, Сінгапурі, Іспанії та Швейцарії. Google називає атаки опортуністичними, тож під удар міг потрапити будь-хто, чий Backupper перевіряв оновлення в ці вікна.

Що робити

AOMEI повідомила, що оновила сервери й перевірила розміщені файли, але як саме її зламали і чи повністю проблему закрито, компанія не підтвердила. Виправлення на боці сервера нові зараження зупинило, а вже встановлений бекдор не видаляє. Якщо Backupper стояв на вашому комп'ютері (в атаках бачили версію 8.3.0 і новішу), зробіть три речі:

• відкрийте «Планувальник завдань» і пошукайте незнайомі завдання, створені в травні та липні;
• перегляньте папку встановлення AOMEI на зайві виконувані файли;
• звірте з переліком індикаторів у звіті Google, зокрема з адресою 8.210.84.56.

На комп'ютері, де знайшлися сліди, краще змінити паролі й поставити систему заново. Докладніше про саму програму — на сторінці AOMEI Backupper, а для порівняння погляньте на безкоштовний Macrium Reflect Free Edition.