Hackare ska ha tagit sig in i AOMEI:s uppdaterings- och aviseringssystem för att sprida skadlig kod via en kampanjfunktion i AOMEI Backupper, företagets Windows-program för säkerhetskopiering. Enligt rapporter från ManageEngine och Google pågick leveranskedjeattackerna mellan april och juli 2026.
Forskare från ManageEngines Threat Analysis Lab, Googles Threat Intelligence Group och Mandiant kopplade aktiviteten till en hotaktör som spåras som UNC7017. Angriparna använde den komprometterade infrastrukturen för att sprida CROSSROAD, en tidigare okänd nedladdare för skadlig kod, och SHINYROAD, en bakdörr.
Forskarna identifierade drabbade organisationer i USA, Australien, Indien, Singapore, Spanien och Schweiz, inom bland annat IT-tjänster, telekommunikation och högre utbildning. Google uppgav att attackerna var opportunistiska och kan ha drabbat fler organisationer som sökte efter uppdateringar under exponeringsperioderna.
Forskarna fångade skadliga konfigurationsfiler från servrarna den 16 juli. De identifierade tre exponeringsperioder: 10 minuter den 28 maj, 6 minuter den 16 juli och 5 minuter den 20 juli. Angriparna återställde filerna inom några minuter. De ändrade filerna styrde Backupper till ett skadligt ZIP-arkiv och använde aviseringssystemet för att köra skadlig kod utan att användaren behövde göra något. Angriparna ändrade också den förväntade kontrollsumman så att arkivet klarade filverifieringen.
ManageEngine uppgav att företaget först underrättade AOMEI den 7 juni. AOMEI föreslog inledningsvis att innehållet kan ha ändrats under överföringen; enligt ManageEngines rapport stödde bevisen inte den förklaringen. Rapporten uppgav att filerna hämtats via HTTPS från värdnamn som tillhörde AOMEI och ändrats i den leveransväg som leverantören stod för.
Kommentarer
0Inga kommentarer ännu. Skriv den första.