Güvenlik · 22 Ekim 2026
Saldırganlar AOMEI Güncelleme Sunucularını Gizlice Kötü Amaçlı Yazılım Yaymak İçin Ele Geçirdi
Saldırganlar, AOMEI şirketinin sunucularını ele geçirerek yedekleme yazılımındaki yerleşik bir tanıtım özelliği aracılığıyla kötü amaçlı yazılımlar dağıttı. Saldırganlar, saldırıları gizlemek amacıyla yapılandırma dosyalarını kısa süreliğine değiştirip ardından tekrar orijinal hallerine getirdi.
Nisan ve Temmuz 2026 tarihleri arasında gerçekleşen tedarik zinciri saldırıları, veri yedekleme, disk klonlama ve sistem geri yükleme işlemleri için kullanılan Windows uygulaması AOMEI Backupper'ın güncelleme ve bildirim sistemlerini hedef aldı. Google'ın Tehdit İstihbarat Grubu, Mandiant ve ManageEngine'in Tehdit Analiz Laboratuvarı'ndaki araştırmacılar tarafından ortaya çıkarılan kampanya, UNC7017 olarak takip edilen bir tehdit aktörüne atfediliyor. Bu aktör, ele geçirilen altyapıyı CROSSROAD adlı daha önce bilinmeyen bir kötü amaçlı yazılım indiricisi ve SHINYROAD adlı bir arka kapı yazılımını yaymak için kullandı.
Saldırganlar, tanıtım ve bildirim sistemleri tarafından kullanılan iki yapılandırma dosyasını, down_html.ini ve Notifycfg.ini, kısa süreliğine değiştirdi. Bu yöntemle yazılım, kötü amaçlı bir ZIP arşivini indirmeye yönlendirildi ve bildirim mekanizması kullanılarak kullanıcı etkileşimi gerekmeksizin kötü amaçlı yazılım çalıştırıldı. Ayrıca, güncelleme yapılandırmasındaki beklenen sağlama toplamı değiştirilerek kötü amaçlı arşivin dosya doğrulama kontrollerini geçmesi sağlandı.
Araştırmacılar, AOMEI sunucularının kötü amaçlı yapılandırma dosyasını gönderdiği üç farklı zaman dilimi belirledi. İlk pencere 28 Mayıs'ta 10 dakika, ikincisi 16 Temmuz'da 6 dakika ve üçüncüsü 20 Temmuz'da 5 dakika sürdü. 20 Temmuz'daki saldırı sırasında, görünmez bir açılır pencere aracılığıyla yazılımın bildirim sistemini saldırgan kontrollü bir WebDAV kaynağına erişmeye zorlayarak Windows kimlik doğrulama özetlerini çalmaya çalışan ikinci bir teknik de gözlemlendi.
Saldırılar sonucunda Amerika Birleşik Devletleri, Avustralya, Hindistan, Singapur, İspanya ve İsviçre'deki bilişim hizmetleri, telekomünikasyon ve yükseköğretim gibi sektörlerdeki kuruluşların etkilendiği tespit edildi. Google, saldırıların fırsatçı olduğunu ve kötü amaçlı dosyaların dağıtıldığı kısa sürelerde güncelleme kontrolü yapan diğer kuruluşların da etkilenmiş olabileceği konusunda uyardı.
ManageEngine, şüpheli etkinlikler hakkında AOMEI'yi ilk olarak 7 Haziran'da bilgilendirdi. AOMEI başlangıçta içeriğin iletim sırasında yakalanmış ve değiştirilmiş olabileceğini öne sürdü ancak araştırmacılar, içeriğin HTTPS üzerinden AOMEI'ye ait ana bilgisayar adlarından alındığını ve farklı ülkelerdeki ilgisiz ağ yollarında benzer sonuçların görüldüğünü belirterek bu açıklamaya katılmadıklarını bildirdi. AOMEI, konuyla ilgili olarak teknoloji baş sorumlusunun inceleme yaptığını belirtti.