İçeriğe geç
Menü

AOMEI Backupper'ın güncelleme sunucuları ele geçirildi, birkaç dakikalık aralıklarla arka kapı dağıtıldı

Popüler yedekleme yazılımının kendi sunucularındaki güncelleme dosyaları mayıs ve temmuz aylarında kısa sürelerle değiştirildi. O dakikalarda güncelleme alan bilgisayarlara uzaktan erişim sağlayan bir arka kapı kuruldu.

Kırmızı Ekip
  • Güncellendi:
  • 2 dk okuma
  • 2 kaynak

Kısaca

  • Google'ın tehdit istihbarat ekibi GTIG, Mandiant ve ManageEngine'e göre güncelleme dosyaları en az üç kez, beşer onar dakikalık aralıklarla değiştirildi. Güncelleme dosyaları imzasız olduğu için yazılım değişikliği fark edemedi.
  • AOMEI 29 Temmuz'da sunucularını güvence altına aldığını söyledi, ancak daha önce enfekte olan bilgisayarlar kendiliğinden temizlenmiyor.

Windows için yaygın kullanılan yedekleme yazılımı AOMEI Backupper’ın güncelleme altyapısı, saldırganlar tarafından bir arka kapı dağıtmak için kullanıldı. Google Threat Intelligence Group (GTIG), Mandiant ve ManageEngine’in 16 Ekim’de yayımladığı bulgulara göre saldırganlar, yazılımın AOMEI’nin kendi sunucularından indirdiği güncelleme dosyalarını kısa aralıklarla değiştirdi. O aralıklarda güncelleme kontrolü yapan her kurulum, zararlı yazılımı indirip çalıştırdı. Bir yazılım açığı kullanılmadı.

GTIG’in tespit ettiği aralıklar 28 Mayıs, 16 Temmuz ve 20 Temmuz tarihlerinde, her biri beş ila on dakika süren zaman dilimleri. Araştırmacılar gözlemlemedikleri başka aralıkların da olmasının muhtemel olduğunu söylüyor. Saldırının bu kadar kısa tutulması, AOMEI’nin indirme sayfasının çoğu zaman temiz dosya sunduğu anlamına geliyor ve olayın fark edilmesini zorlaştırıyor. Güncelleme dosyaları dijital olarak imzalanmamıştı ve doğrulama için kullanılan özet değeri dosyanın kendisinde tutuluyordu. Yani dosyayı değiştiren biri doğrulama değerini de değiştirebiliyordu. AOMEI’nin uzaktan erişim yazılımı AnyViewer’ın da aynı güncelleme yöntemini kullandığı belirtiliyor.

Bilgisayarlara önce CROSSROAD adlı bir indirici, ardından uzaktan komut çalıştırmaya imkân veren SHINYROAD arka kapısı kuruldu. Bazı makinelere Nitro PDF yazılımı kılığında ek araçlar indirildi. Saldırganlar UNC7017 adıyla takip ediliyor ve bir ülkeyle ilişkilendirilmedi. Olayı ilk olarak 28 Mayıs’ta ManageEngine’in uç nokta güvenlik yazılımı fark etti. AOMEI başlangıçta dosyaların aktarım sırasında değiştirildiğini öne sürdü, ancak ManageEngine bu açıklamayı kabul etmedi. AOMEI 29 Temmuz’da sunucularını güvence altına aldığını bildirdi. ManageEngine bunun bağımsız olarak doğrulanmadığını belirtiyor.

Olay, güvenilen bir yazılımın güncelleme kanalı üzerinden yapılan tedarik zinciri saldırılarının neden bu kadar tehlikeli olduğunu bir kez daha gösteriyor. Kullanıcı hiçbir hata yapmadan, yalnızca yazılımını güncel tuttuğu için enfekte olabiliyor.

Önerilen önlemler

AOMEI Backupper ya da AnyViewer kullanan kurumların, sunucuların düzeltilmiş olmasının daha önce enfekte olmuş bilgisayarları temizlemediğini göz önünde bulundurarak nisan-temmuz dönemine dönük inceleme yapması öneriliyor. Araştırmacılara göre RadminComponentRuntime ya da NitroRuntime adlı zamanlanmış görevler, AOMEI yayıncı bilgisi taşıyan ama imzasız bir upgrade-now.exe dosyası ve Backupper’ın açılır pencere klasöründen çalışan programlar şüpheli bulgular arasında. storage-data[.]com alan adına ve alt alan adlarına giden trafik engellenmeli. GTIG ve ManageEngine tespit için kurallar yayımladı. Bulaşma şüphesi olan bilgisayarlardaki parolaların değiştirilmesi de yerinde olur.

Kaynaklar

Bu konuda