إساءة استخدام خوادم تحديث AOMEI Backupper لتوزيع برمجيات خبيثة في هجمات سلسلة التوريد

ما الذي حدث

أفاد باحثو مختبر ManageEngine لتحليل التهديدات، بالتعاون مع مجموعة استخبارات التهديدات في Google وشركة Mandiant، بأن مهاجمين اخترقوا الخوادم التي تستخدمها AOMEI لخدمة برنامج Backupper. ولم يستبدل المهاجمون الملفات بشكل دائم، بل عدّلوا ملفي إعداد لفترة وجيزة ثم أعادوهما إلى حالتهما خلال دقائق، ما صعّب الكشف.

يحدد أحد الملفين مصدر تنزيل حزم التحديث، بينما ينظم الآخر الإشعارات ويمكنه تشغيل محتوى على الجهاز. وجّه المهاجمون البرنامج إلى أرشيف ZIP خبيث، وغيّروا مجموع التحقق المتوقع ليجتاز الفحص، واستخدموا آلية الإشعارات لتنفيذ الحمولة دون تدخل المستخدم.

الأثر

شملت البرمجيات الخبيثة CROSSROAD الذي يجمع معلومات عن الجهاز ويحمّل مكونات إضافية ويثبّت نفسه عبر مهمة مجدولة، وSHINYROAD وهو باب خلفي يستخدم مكونات Radmin الشرعية للاتصال بخادم يتحكم فيه المهاجم. وفي 20 يوليو رصدت Google أيضاً محاولة للحصول على تجزئات NTLM في ويندوز عبر مورد WebDAV.

وُجدت جهات متأثرة في دول عدة منها الولايات المتحدة وأستراليا والهند وسنغافورة وإسبانيا وسويسرا، في قطاعات خدمات تقنية المعلومات والاتصالات والتعليم العالي. ووصفت Google الهجمات بأنها انتهازية، وقد تكون جهات أخرى تحققت من التحديثات خلال النوافذ القصيرة متأثرة أيضاً.

موقف الشركة

تقول AOMEI إنها رقّت خوادمها وتحققت منها وإن مديرها التقني يقود التحقيق، لكنها لم تؤكد كيفية وصول المهاجمين ولا اكتمال المعالجة. وتشدد ManageEngine على أن تأمين الخوادم يوقف الإصابات الجديدة لكنه لا ينظف الأجهزة التي تلقت البرمجيات الخبيثة.