Атака на серверы обновлений AOMEI Backupper: бэкдор поставляли окнами по 5–10 минут

Исследователи Google Threat Intelligence Group, Mandiant и лаборатории ManageEngine сообщили о необычной атаке на цепочку поставок. Злоумышленники несколько раз на 5–10 минут подменяли файлы, которые программа AOMEI Backupper запрашивает с серверов самого разработчика. Любая копия этого инструмента резервного копирования для Windows, обратившаяся за обновлением в такое окно, скачивала и запускала бэкдор.

AOMEI Backupper создан гонконгской AOMEI Technology. Как и её утилита удалённого доступа AnyViewer, он держит фоновые службы, которые регулярно проверяют серверы по HTTPS на наличие обновлений и рекламных всплывающих окон. Проверку определяют два файла: down_html.ini указывает пакет обновления и его контрольную сумму, а Notifycfg.ini говорит, что показать и что запустить.

Уязвимости не было

Примечательно, что в самой программе ничего не ломали. Ни одного эксплойта, ни единого действия пользователя — достаточно было, чтобы программа была установлена и работала. Проблема в том, что AOMEI криптографически не проверяет эти файлы, а контрольная сумma, которая должна подтверждать подлинность загрузки, лежит в том же неподписанном файле, что и указывает её. Атакующему оставалось лишь на несколько минут изменить два текстовых файла на сервере.

Скачанный пакет запускался с привилегиями процесса AOMEI, что на изученных машинах позволяло установить ПО в масштабах всей системы.

Три окна, одиннадцать стран

Подтверждены три эпизода подмены: 28 мая (10 минут), 16 июля (6 минут) и 20 июля (5 минут), по UTC. Копия, проверившая обновления до или после окна, получала подлинные файлы — именно это делает атаку труднообнаружимой. GTIG назвал цель оппортунистической: поражали всё, что опрашивало сервер в эти минуты. По своей телеметрии GTIG выявил пострадавшие организации в ИТ-услугах, телекоме и высшем образовании в 11 странах, включая Австралию, Бразилию, Индию, США и Турцию; реальное число, вероятно, больше.

Группу отслеживают как UNC7017, страну или известного актора не называют. По словам GTIG, это первая встреченная ими компрометация цепочки поставок на Windows столь короткой длительности, эффективно обходящая разовые проверки и автоматическое сканирование файлов.

Что оседало на машине

Загрузчик CROSSROAD распаковывал бундл в локальную папку Radmin, создавал задачу в планировщике с запуском каждые три часа и удалял себя с диска. В комплекте была легитимная подписанная копия Radmin, но запускалась не она: управление давал отдельный имплант SHINYROAD, обращавшийся к единственному жёстко заданному адресу. CROSSROAD останавливался, если обнаруживал, что машина находится в Китае или на ней есть определённые средства защиты.

Окно 20 июля включало трюк без запуска кода: файл уведомлений открывал невидимое всплывающее окно в один пиксель, ссылавшееся через WebDAV на файл на сервере атакующего, что могло заставить Windows отправить ему ответ аутентификации NetNTLMv2 пользователя.

Исправленный сервер не чистит машину

AOMEI сообщила, что устранила проблему на серверах, но это не удаляет бэкдор с уже заражённых компьютеров: загрузчик восстанавливал подлинный файл обновления, так что заражённая система выглядит нормально. Исследователи призывают организации проверять весь период с апреля по июль и не судить об инциденте по странице загрузки разработчика, которая почти всё время отдаёт подлинный контент. Как файлы на серверах удалось менять, в отчётах не сказано.

Источник: The Hacker News