Hackare kapar AOMEI-uppdateringsserver för att hemligen sprida skadlig kod

Säkerhetspersonal har upptäckt att hotaktörer har komprometterat AOMEI:s servrar för att hemligen sprida skadlig kod via en inbyggd marknadsföringsfunktion i dess säkerhetskopieringsprogram. Forskare från ManageEngine Threat Analysis Lab (METAL) i samarbete med Google Threat Intelligence Group (GTIG) och Mandiant identifierade hotaktören UNC7017 som ansvarig för kampanjerna som skedde mellan april och juli 2026. Angreppen riktade sig mot uppdaterings- och meddelandessystemen i AOMEI Backupper, ett Windowsprogram för säkerhetskopiering, diskkloning och systemåterställning. Forskarnas analys visade att två konfigurationsfiler, down_html.ini och Notifycfg.ini, modifierades kortvarigt för att omdirigera programmet till att ladda ner en skadlig ZIP‑fil och köra den utan användarinteraktion.

Under tre korta fönster, 28 maj (10 min), 16 juli (6 min) och 20 juli (5 min), distribuerades malware‑nedladdaren CROSSROAD och bakdörren SHINYROAD. CROSSROAD samlade in information om den infekterade datorn, laddade ner ytterligare komponenter och skapade beständighet via en schemalagd uppgift. SHINYROAD använde legitima Radmin‑komponenter för att ladda ner skadlig kod och öppna en utåtriktad anslutning till en attacker‑kontrollerad C2‑server. En annan metod som observerades den 20 juli försökte stjäla Windows‑autentiseringshashar genom att tvinga programmet att nå en attacker‑kontrollerad WebDAV‑resurs via en osynlig popup. Forskare identifierade IP‑adresser och värdnamer som 8.210.84[.]56, serv.oss-cn-hongkong[.]aliyuncs.com, samt värdnamer under storage-data[.]com och storage.googleapis.com.