Aanvallers hebben tussen eind mei en eind juli dit jaar drie keer kortstondig de update- en meldingsinfrastructuur van AOMEI Backupper gekaapt, de populaire Windows-software voor back-ups en systeemherstel, om malware te verspreiden onder gebruikers die op dat moment toevallig een update controleerden. Dat melden onderzoekers van ManageEngine, Google Threat Intelligence Group en Mandiant, die de activiteit toeschrijven aan de dreigingsactor UNC7017.
Hoe de aanvallers de update-infrastructuur misbruikten
De aanvallers gingen niet achter het updatemechanisme zelf aan, maar achter een ingebouwde promotiefunctie van AOMEI Backupper die reclame-inhoud en meldingen ophaalt. Ze pasten twee configuratiebestanden aan: down_html.ini, dat bepaalt waar updatepakketten vandaan worden gedownload, en Notifycfg.ini, dat meldingen beheert en daarbij code kan laten draaien zonder dat de gebruiker iets hoeft te doen. Door ook de verwachte checksum aan te passen, doorstond het kwaadaardige bestand de ingebouwde verificatie. Na afloop van elke aanval zetten de aanvallers de bestanden weer terug naar hun oorspronkelijke staat om sporen te wissen.
Via dit mechanisme verspreidden ze twee stukken malware. CROSSROAD is een eerder onbekende downloader die informatie over de computer verzamelt, extra onderdelen ophaalt en zichzelf via een geplande taak actief houdt. SHINYROAD is een backdoor die legitieme Radmin-componenten misbruikt om kwaadaardige code te laden en verbinding te maken met een command-and-control-server. Bij de aanval van 20 juli probeerde de malware bovendien NTLM-hashes te stelen, via een onzichtbare pop-up die een WebDAV-bron van de aanvallers benaderde.
Drie korte tijdvensters, wereldwijde impact
De misbruikperiodes waren opvallend kort: tien minuten op 28 mei, zes minuten op 16 juli en vijf minuten op 20 juli. ManageEngine ontdekte de eerste aanval toen de eigen endpointbeveiliging zag dat AOMEI Backupper bij twee bedrijven in verschillende landen ongevraagd Radmin installeerde. Volgens Google was de aanval opportunistisch: elke gebruiker die tijdens een van de drie tijdvensters toevallig op een update controleerde, liep risico. Getroffen organisaties zijn tot nu toe gevonden in de Verenigde Staten, Australië, India, Singapore, Spanje en Zwitserland, in sectoren als IT-dienstverlening, telecom en hoger onderwijs.
ManageEngine waarschuwde AOMEI al op 7 juni, maar de softwaremaker opperde eerst dat de inhoud onderweg was onderschept, een verklaring die de onderzoekers verwierpen. Pas na een tweede melding door Mandiant op 17 juli erkende AOMEI op 29 juli dat er iets mis was. Het bedrijf zegt inmiddels de servers te hebben geüpgraded, mogelijke kwetsbaarheden te hebben gepatcht en de bestanden te hebben gecontroleerd. Hoe de aanvallers precies toegang kregen tot de updateservers, heeft AOMEI nog niet bevestigd.
Voor gebruikers van AOMEI Backupper is de serverfix geen vrijbrief: die voorkomt nieuwe besmettingen, maar verwijdert geen achterdeurtjes van machines die tijdens een van de drie tijdvensters al zijn geïnfecteerd. Controleer op verdachte geplande taken, onverwachte uitvoerbare bestanden in de AOMEI-installatiemap en verbindingen met het IP-adres 8.210.84.56 of de domeinen uit de IOC-lijsten van Google en ManageEngine. Twijfelt u of uw organisatie in een van de drie tijdvensters een update heeft gecontroleerd, scan dan voor de zekerheid de betreffende machines.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt uw organisatie AOMEI Backupper? De serverfix voorkomt nieuwe besmettingen, maar verwijdert geen malware van machines die tussen 28 mei en 20 juli 2026 al zijn geïnfecteerd. Controleer op verdachte geplande taken, onbekende bestanden in de AOMEI-installatiemap en verbindingen met IP-adres 8.210.84.56.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.