Злоумышленники на несколько минут подменяли обновления AOMEI Backupper и устанавливали бэкдор
С апреля по июль 2026 года серверы обновлений AOMEI подвергались атаке: злоумышленники ненадолго изменяли файлы настроек, которые получали AOMEI Backupper и AnyViewer. Если программа проверяла обновления в период подмены, она могла скачать и запустить вредоносный код. По данным Google Threat Intelligence Group, Mandiant и ManageEngine, отдельные окна атаки продолжались всего от пяти до десяти минут.
Как работала подмена
AOMEI Backupper - программа для резервного копирования данных, которая обращается к серверам разработчика за обновлениями и уведомлениями. Среди файлов, необходимых для этого, - down_html.ini и Notifycfg.ini. Первый указывает, какой пакет требуется загрузить, и содержит его контрольную сумму MD5. Второй задаёт параметры уведомлений, в том числе действия, выполняемые компонентом ABNotify.exe.
Проблема заключалась в том, что подлинность самих файлов настроек не проверялась. Контрольная сумма пакета находилась в том же неподписанном файле, который указывал, откуда его получить. Поэтому злоумышленникам не понадобилось искать уязвимость в программе: достаточно было временно заменить конфигурацию на сервере. Пользователю не нужно было открывать файл или подтверждать установку - достаточно, чтобы программа проверила обновления.
Google и Mandiant подтвердили три эпизода: 28 мая, 16 и 20 июля. Исследователи считают, что случаев могло быть больше. Компьютеры, обращавшиеся к серверу до начала или после окончания короткого окна подмены, получали штатные настройки, поэтому атака могла оставаться незаметной. Google назвала этот инцидент первым известным ей случаем атаки на цепочку поставок с настолько короткими периодами подмены.
Что происходило на заражённом компьютере
Вредоносный загрузчик CROSSROAD распаковывал файлы в папку Radmin, создавал в Планировщике заданий задачу RadminComponentRuntime с запуском каждые три часа, а затем удалял собственную копию. Задача запускала подлинную подписанную программу Radmin, рядом с которой размещалась поддельная DLL-библиотека. В результате загружался бэкдор SHINYROAD: он предоставлял удалённый доступ к командной строке и позволял скачивать и запускать дополнительный код. Загрузчик действовал с правами процесса AOMEI, который его запустил.
Вредоносная программа проверяла местоположение компьютера и не активировалась в Китае. По данным ManageEngine, она также могла не запускаться при наличии отдельных защитных продуктов. С июля на некоторых компьютерах поверх бэкдора обнаруживали фреймворк Adaptix C2, замаскированный под Nitro PDF и запускавшийся через задачу NitroRuntime.
Во время одного из эпизодов злоумышленники применили и другой приём. Файл уведомлений открывал невидимое окно размером в один пиксель, обращавшееся к серверу по WebDAV. При этом Windows могла незаметно отправить хеш NetNTLMv2 учётной записи вошедшего пользователя. Для этого не требовалось запускать отдельное приложение.
Google выявила пострадавшие организации в сфере ИТ-услуг, телекоммуникаций и высшего образования в 11 странах, включая Австралию, Бразилию, Индию, Португалию, Сингапур, ЮАР, Испанию, Турцию и США. Атака не была адресной: вредоносный файл мог получить любой компьютер, проверявший обновления во время подмены. Группу злоумышленников Google обозначила как UNC7017, не связывая её с конкретной страной. ManageEngine наблюдала заражения на AOMEI Backupper версии 8.3.0 и новее.
Что известно об ответе AOMEI
ManageEngine заметила активность 28 мая и сообщила о ней AOMEI 7 июня. По словам лаборатории, сначала компания объяснила инцидент подменой данных при передаче, однако исследователи установили, что файлы скачивались по HTTPS напрямую с серверов AOMEI. Mandiant уведомила разработчика 17 июля, а 29 июля AOMEI сообщила о мерах по защите серверов. Как именно злоумышленники получили к ним доступ, публично не уточнялось.
Защита серверов не означает автоматического удаления вредоносных компонентов с уже заражённых устройств. Кроме того, загрузчик возвращал локальные файлы настроек в исходное состояние, поэтому компьютер после атаки мог выглядеть обычным образом. В журнале изменений AOMEI Backupper вплоть до версии 8.5.0, выпущенной 9 октября, исправления механизма проверки обновлений не упоминались.
Как проверить компьютер
Если на устройстве установлены AOMEI Backupper или AnyViewer, стоит проверить Планировщик заданий на наличие подозрительных записей, в частности RadminComponentRuntime и NitroRuntime. Также обратите внимание на неизвестные файлы и библиотеки в папке Radmin, необычные запуски Radmin или Nitro PDF и признаки удалённого управления. Одного отсутствия подозрительных задач недостаточно: загрузчик мог удалить себя, а настройки - восстановиться.
Запустите полную проверку актуальным антивирусом и изучите историю обнаружений и события запуска приложений. Если компьютер используется для работы, особенно в организации, сообщите специалистам по информационной безопасности: им может понадобиться проверить не только конечное устройство, но и сетевые журналы, учётные записи и другие компьютеры. При подозрении на кражу учётных данных смените пароль с заведомо чистого устройства и проверьте, не использовался ли он в других сервисах.
Установка свежей версии приложения сама по себе не гарантирует, что уже произошедшее заражение устранено. Поэтому не стоит ограничиваться повторной загрузкой программы: сначала проверьте систему и при необходимости обратитесь к специалистам. Актуальные сведения о продукте и варианты, позволяющие скачать AOMEI Backupper, следует искать на официальном ресурсе разработчика. Вопросы безопасности важны и для пользователей, которые ищут запросы "AOMEI Backupper официальный сайт" или "AOMEI Backupper обновление": загружайте установочные файлы из проверенных мест и не отключайте защитные средства ради установки.
Этот случай показывает, почему обновления программ требуют такой же осторожности, как и сами установщики. HTTPS защищает соединение от ряда вмешательств по пути, но не гарантирует безопасность содержимого, если скомпрометирована инфраструктура сервиса. Проверка цифровых подписей, а также защита конфигурационных файлов помогают снизить риск подобных атак.
Полностью исключить угрозы одним инструментом нельзя, однако регулярные обновления операционной системы, резервное копирование и контроль запуска приложений повышают устойчивость компьютера. Если задача - усилить защиту компьютера от вирусов и бэкдоров, важно сочетать антивирусную защиту с уникальными паролями, ограничением прав пользователей и вниманием к необычной активности системы.
