ผู้โจมตีใช้เซิร์ฟเวอร์อัปเดตของ AOMEI Backupper กระจายมัลแวร์ใส่ผู้ใช้หลายครั้ง

กระบวนการตรวจสอบพบความยากลำบากเนื่องจากมัลแวร์ชนิดดรอปเปอร์ที่ติดตั้งผ่านอัปเดตปลอมได้ลบตัวเองออกจากระบบเป้าหมายทันที องค์กรลูกค้าสองแห่งของแมนเนจเอ็นจินได้รับผลกระทบจากเหตุการณ์ในวันที่ 28 พฤษภาคม โดยหนึ่งในองค์กรได้ติดต่อมาในวันที่ 7 มิถุนายน ซึ่งขณะนั้นมัลแวร์ได้หายไปจากเครื่องแล้ว แต่ซอฟต์แวร์ตรวจจับและตอบสนองต่อเหตุการณ์ของแมนเนจเอ็นจินยังคงบันทึกข้อมูลกิจกรรมและข้อมูลทางไกลไว้ได้

เบื้องต้นทาง AOMEI ระบุว่าข้อมูลถูกดัดแปลงระหว่างทาง แต่การตรวจสอบของแมนเนจเอ็นจินชี้ว่าไฟล์ถูกแก้ไขตั้งแต่ต้นทางที่เซิร์ฟเวอร์ของผู้พัฒนา เนื่องจากขาดไฟล์ต้นฉบับที่เป็นหลักฐานชัดเจน จึงยังไม่สามารถยืนยันได้ว่าโครงสร้างพื้นฐานของ AOMEI เป็นตัวกระจายมัลแวร์โดยตรง จนกระทั่งมีการเฝ้าระวังลิงก์เฉพาะและพบหลักฐานในวันที่ 16 กรกฎาคม rằngไฟล์การตั้งค่าถูกเปลี่ยนแปลงนานหกนาทีเพื่อแจกจ่ายแบ็กดอร์

ในการโจมตีครั้งใหม่เมื่อวันที่ 20 กรกฎาคม กูเกิลพบว่าอัปเดตที่เป็นอันตรายได้โหลดไฟล์เอชทีเอ็มแอล onto ระบบเหยื่อ เพื่อให้ระบบเหล่านั้นเชื่อมต่อกลับไปยังเซิร์ฟเวอร์ของผู้โจมตีผ่านโปรโตคอลเอสเอ็มบีหรือเว็บเดฟ การกระทำนี้ทำให้ผู้โจมตีได้รับแฮชเน็ตเอ็นทีแอลเอ็มวีทูของระบบซึ่งสามารถนำไปถอดรหัสหรือใช้สำหรับการโจมตีแบบรีเลย์ได้ ด้าน AOMEI แจ้งว่าได้ดำเนินมาตรการแก้ไขแล้วแต่ไม่ได้เปิดเผยรายละเอียดว่าผู้โจมตีเข้าถึงไฟล์การตั้งค่าได้อย่างไร

ข้อมูลทางไกลที่กูเกิลรวบรวมได้ชี้ว่าเหยื่อของการโจมตีกระจายอยู่ในหลากหลายภาคส่วน ได้แก่ บริการเทคโนโลยีสารสนเทศ โทรคมนาคม และสถาบันการศึกษา ในประเทศออสเตรเลีย บราซิล อินเดีย ปากีสถาน โปรตุเกส สิงคโปร์ แอฟริกาใต้ สเปน สวิตเซอร์แลนด์ ตุรกี และสหรัฐอเมริกา นักวิจัยเตือนว่าจำนวนองค์กรที่ได้รับผลกระทบอาจมีมากกว่าที่ตรวจพบ