Bilgisayar korsanlarının, AOMEI'nin Windows yedekleme uygulaması AOMEI Backupper'daki tanıtım özelliği üzerinden zararlı yazılım dağıtmak için şirketin güncelleme ve bildirim sistemlerini ele geçirdiği bildirildi. ManageEngine ve Google'ın raporlarına göre tedarik zinciri saldırıları Nisan ile Temmuz 2026 arasında gerçekleşti.
ManageEngine'in Threat Analysis Lab ekibi, Google'ın Threat Intelligence Group ekibi ve Mandiant araştırmacıları faaliyeti UNC7017 olarak izlenen bir tehdit aktörüne bağladı. Saldırganlar, ele geçirilen altyapıyı daha önce bilinmeyen CROSSROAD adlı bir zararlı yazılım indiricisini ve SHINYROAD adlı bir arka kapıyı dağıtmak için kullandı.
Araştırmacılar ABD, Avustralya, Hindistan, Singapur, İspanya ve İsviçre'de; BT hizmetleri, telekomünikasyon ve yükseköğretim gibi sektörlerde etkilenen kuruluşlar belirledi. Google, saldırıların fırsatçı olduğunu ve bu maruz kalma dönemlerinde güncelleme denetleyen başka kuruluşları da etkilemiş olabileceğini söyledi.
Araştırmacılar, 16 Temmuz'da sunuculardan zararlı yapılandırma dosyalarının dağıtıldığını yakaladı. Üç maruz kalma dönemi belirlediler: 28 Mayıs'ta 10 dakika, 16 Temmuz'da 6 dakika ve 20 Temmuz'da 5 dakika. Saldırganlar dosyaları birkaç dakika içinde eski hâline getirdi. Değiştirilen dosyalar, Backupper'ı zararlı bir ZIP arşivine yönlendirdi ve bildirim sistemini kullanarak kullanıcı etkileşimi olmadan zararlı yazılımı çalıştırdı. Saldırganlar ayrıca beklenen sağlama toplamını değiştirerek arşivin dosya doğrulama denetiminden geçmesini sağladı.
ManageEngine, AOMEI'yi ilk olarak 7 Haziran'da bilgilendirdiğini söyledi. AOMEI başlangıçta içeriğin aktarım sırasında değiştirilmiş olabileceğini öne sürdü; ManageEngine'in raporuna göre kanıtlar bu açıklamayı desteklemiyordu. Raporda, dosyaların AOMEI'ye ait ana bilgisayar adlarından HTTPS üzerinden geldiği ve satıcının barındırdığı dağıtım yolu içinde değiştirildiği belirtildi.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.