Обновления AOMEI Backupper подменили для заражения компьютеров

Специалисты Google Threat Intelligence Group (GTIG) изучили кампанию, в ходе которой злоумышленники получили доступ к инфраструктуре обновлений и уведомлений AOMEI Technology. Программа AOMEI Backupper используется более чем 100 миллионами людей по всему миру для резервного копирования файлов, клонирования дисков и восстановления данных. Атака продолжалась с апреля по июль, и та же система обслуживает клиентов AnyViewer, хотя отдельных подтверждённых заражений AnyViewer в отчёте нет.

На короткие промежутки времени злоумышленники меняли инструкции загрузки, указывая на вредоносный ZIP-архив. Одновременно они подменяли ожидаемую версию и контрольную сумму MD5, чтобы клиент принял поддельное обновление. Поскольку удалённый файл конфигурации содержал и адрес загрузки, и ожидаемую контрольную сумму, атакующие могли согласованно изменить обе части.

Исследователи подтвердили три окна подмены длительностью десять, шесть и пять минут, но таких эпизодов могло быть больше. Короткие интервалы снижали шанс заражения машин, однако одновременно делали атаку менее заметной для служб мониторинга. Вредоносная цепочка начиналась с начального загрузчика, который устанавливал постоянный бэкдор для удалённого доступа.

В GTIG не определили доставленное ПО как программу-вымогатель или стилер, но бэкдор позволяет выполнять команды и загружать дополнительные вредоносные модули. Это означает, что заражённый компьютер может оставаться открытым для последующих атак. Пользователям AOMEI Backupper, которые могли получить обновление в затронутый период, рекомендуется обновить защитное ПО и запустить полное сканирование.

Бесплатная версия Malwarebytes обнаруживает исходный загрузчик upgrade-now.exe как Malware.AI.4006642887, поэтому клиенты ThreatDown и Malwarebytes были защищены компонентом реального времени. Дополнительно стоит проверить планировщик задач Windows: в библиотеке планировщика может появиться задача с именем RadminComponentRuntime. В папке установки AOMEI Backupper, особенно в подпапках html и Tmphtml конкретной версии, следует искать неподписанный upgrade-now.exe или неожиданный upgrade-now.zip.

Важно учитывать, что вредоносный загрузчик удаляет себя после развёртывания следующей ступени и создания механизма закрепления, поэтому отсутствие файла не гарантирует чистоту системы. Признаком компрометации также может быть исходящий трафик к доменам promotion.storage-data.com, aomei.storage-data.com, storage-data.com или IP-адресам 8.210.84.56, 47.239.60.117, 8.218.65.184 — независимо от того, блокируется он или разрешён. Malwarebytes блокирует адрес 8.218.65.184.

При обнаружении любого из этих признаков не стоит пытаться очистить компьютер вручную. Если есть подозрение на активное заражение, нужно отключить устройство от интернета и обратиться к доверенному специалисту, в службу поддержки Malwarebytes или к ИТ-команде организации. Быстрое реагирование помогает ограничить дальнейшее распространение вредоносного ПО.