هکرها سرورهای به‌روزرسانی AOMEI Backupper را در بازه‌های پنج‌دقیقه‌ای هک کردند تا یک درب پشتی نصب کنند

مهاجمان زیرساخت به‌روزرسانی نرم‌افزار پشتیبان‌گیری پرکاربرد AOMEI Backupper را به خطر انداختند و از آن برای نصب یک درب پشتی روی نسخه‌های نصب‌شده، در بازه‌های کوتاهی بین مه تا ژوئیه ۲۰۲۶ - گاهی فقط به مدت پنج تا ده دقیقه - استفاده کردند. گروه اطلاعات تهدید گوگل (GTIG)، در همکاری با Mandiant و آزمایشگاه تحلیل تهدید ManageEngine، این کمپین را این هفته فاش کرد و آن را به عاملی که با نام UNC7017 ردیابی می‌کند نسبت داد.

نکته قابل‌توجه این حمله چیزی است که اصلاً نیازی به آن نبود: هیچ آسیب‌پذیری نرم‌افزاری در کار نبود. AOMEI Backupper دو فایل پیکربندی ساده را روی سرورهای سازنده بررسی می‌کند - یکی که به آن می‌گوید کدام بسته را دانلود کند، و دیگری که محتوای پاپ‌آپ و اجرای آن را کنترل می‌کند. هیچ‌کدام از این فایل‌ها امضای رمزنگاری‌شده ندارند، و چک‌سامی که قرار است یک دانلود قانونی را تأیید کند، داخل همان فایل بدون امضایی قرار دارد که آن را نام‌گذاری می‌کند. مهاجمان صرفاً این دو فایل را برای چند دقیقه ویرایش کردند، گذاشتند مکانیزم به‌روزرسانی بارهای مخرب را دریافت کند، سپس پیش از آنکه کسی متوجه شود فایل‌ها را به حالت اول بازگرداندند - الگویی که به گفته GTIG ابزار دسترسی از راه دور AnyViewer متعلق به AOMEI را نیز درگیر کرده است.

دستگاه‌هایی که در یکی از بازه‌های دستکاری‌شده برای به‌روزرسانی بررسی کردند، دانلودکننده CROSSROAD را دریافت کردند، و پس از آن ایمپلنت SHINYROAD، که از طریق یک باینری دسترسی از راه دور Radmin با امضای قانونی در کنار یک DLL مخرب کاشته‌شده اجرا می‌شد - تکنیکی موسوم به DLL sideloading که به بدافزار اجازه می‌دهد زیر پوشش نرم‌افزار قابل‌اعتماد و امضاشده اجرا شود. در حداقل یکی از بازه‌ها، مهاجمان اصلاً چیزی نصب نکردند و در عوض مستقیماً هش‌های احراز هویت NetNTLMv2 را برداشت کردند، که می‌توان آن‌ها را بالقوه شکست یا برای حرکت جانبی در شبکه ویندوز بازپخش کرد.

GTIG می‌گوید قربانیان تأییدشده در حوزه‌های خدمات فناوری اطلاعات، مخابرات و آموزش عالی در ۱۱ کشور پراکنده‌اند - پروفایلی از قربانیان که با یک عملیات زنجیره تأمین با انگیزه جاسوسی سازگارتر است تا جرم فرصت‌طلبانه. اولین نشانه عمومی مشکل زمانی ظاهر شد که نرم‌افزار امنیتی نقطه پایانی خود ManageEngine چیز غیرعادی را علامت‌گذاری کرد: نصب ناگهانی Radmin -ابزاری قانونی اما بی‌ربط برای مدیریت از راه دور- توسط AOMEI Backupper روی دستگاه‌هایی در دو شرکت نامرتبط. همین ناهنجاری بود که تحقیقات گسترده‌تر را آغاز کرد.

Mandiant در ۱۷ ژوئیه AOMEI را از دستکاری فایل‌های پیکربندی مطلع کرد؛ این شرکت در ۲۹ ژوئیه اقدام اصلاحی روی سرورهایش را تأیید کرد. اما رفع مشکل سرور، آلودگی‌هایی را که قبلاً رخ داده، از بین نمی‌برد - هر دستگاهی که در یکی از بازه‌های مخرب بین مه تا ژوئیه یک به‌روزرسانی دریافت کرده باشد، ممکن است همچنان درب پشتی را حمل کند، صرف‌نظر از اینکه امروز آخرین نسخه را اجرا می‌کند یا نه. به تیم‌های امنیتی توصیه می‌شود به‌جای فرض اینکه سابقه به‌روزرسانی پاک یعنی دستگاه پاک است، به دنبال وظایف زمان‌بندی‌شده غیرمنتظره، فایل‌های اجرایی ناآشنا در پوشه‌های نصب AOMEI، و نشانه‌های فعالیت Radmin یا Adaptix C2 بگردند.

این تکنیک به‌خودی‌خود جدید نیست - کانال‌های به‌روزرسانی بدون امضا و بدون احراز هویت سال‌هاست که هدف آسانی بوده‌اند، از نفوذ به Asus Live Update در سال ۲۰۱۸ که حدود ۷۰ هزار دستگاه را آلوده کرد، تا ربایش مشابه مکانیزم به‌روزرسانی Notepad++ که اوایل همین سال گزارش شد. چیزی که مورد AOMEI را متمایز می‌کند این است که مهاجمان چقدر کم نیاز داشتند دست به کار شوند: نه اکسپلویتی، نه سرقت اعتبارنامه‌ای برای ورود، فقط دو فایل متنی و چند دقیقه بدون نظارت، تکرارشده تا کار جواب دهد.

منبع: افشاگری‌های گروه اطلاعات تهدید گوگل، Mandiant و آزمایشگاه تحلیل تهدید ManageEngine، گزارش‌شده توسط The Hacker News و Malwarebytes، ۱۹ اکتبر ۲۰۲۶.