Según los informes, unos atacantes comprometieron los sistemas de actualización y notificación de AOMEI para distribuir malware mediante una función promocional de AOMEI Backupper, la aplicación de copias de seguridad de la empresa para Windows. Los ataques a la cadena de suministro tuvieron lugar entre abril y julio de 2026, según informes de ManageEngine y Google.
Investigadores del Threat Analysis Lab de ManageEngine, el Threat Intelligence Group de Google y Mandiant atribuyeron la actividad a un actor de amenazas identificado como UNC7017. Los atacantes utilizaron la infraestructura comprometida para distribuir CROSSROAD, un descargador de malware hasta entonces desconocido, y SHINYROAD, una puerta trasera.
Los investigadores identificaron organizaciones afectadas en Estados Unidos, Australia, India, Singapur, España y Suiza, en sectores como los servicios de TI, las telecomunicaciones y la educación superior. Google afirmó que los ataques fueron oportunistas y podrían haber afectado a otras organizaciones que buscaron actualizaciones durante los periodos de exposición.
Los investigadores capturaron archivos de configuración maliciosos servidos el 16 de julio. Identificaron tres periodos de exposición: 10 minutos el 28 de mayo, 6 minutos el 16 de julio y 5 minutos el 20 de julio. Los atacantes restauraron los archivos en cuestión de minutos. Los archivos modificados redirigían Backupper a un archivo ZIP malicioso y utilizaban el sistema de notificaciones para ejecutar malware sin intervención del usuario. Los atacantes también cambiaron la suma de verificación esperada, lo que permitió que el archivo superara la comprobación de integridad.
ManageEngine afirmó que avisó por primera vez a AOMEI el 7 de junio. AOMEI sugirió inicialmente que el contenido podría haberse alterado durante la transmisión; según el informe de ManageEngine, las pruebas no respaldaban esa explicación. El informe indicó que los archivos llegaron por HTTPS desde nombres de host propiedad de AOMEI y fueron alterados dentro de la ruta de distribución alojada por el proveedor.
Comentarios
0Aún no hay comentarios. Escribe el primero.