Gebruikers AOMEI Backupper via update-servers besmet met malware

In dit artikel:

Aanvallers hebben de update-infrastructuur van AOMEI Backupper meerdere keren misbruikt voor een supplychain-aanval. Gebruikers van de back-upsoftware kregen tijdens korte vensters van vijf tot tien minuten een gemanipuleerde update aangeboden, waarna weer de legitieme software werd verspreid. Google bevestigde aanvallen op 28 mei, 16 juli en 20 juli, maar sluit meer incidenten niet uit.

Op 28 mei werden volgens ManageEngine zeker twee klanten getroffen. De geïnstalleerde dropper verwijderde zichzelf, maar opgeslagen EDR-gegevens maakten nader onderzoek mogelijk. ManageEngine concludeerde dat de bestanden al bij AOMEI waren aangepast, in tegenstelling tot de eerste verklaring van het bedrijf dat de wijziging onderweg zou zijn gebeurd. Op 16 juli werd tijdens een observatieperiode van zes minuten bewijs gevonden voor een backdoor.

Bij de aanval van 20 juli werd een HTML-bestand geïnstalleerd dat via SMB of WebDAV contact maakte met een server van de aanvallers. Daarbij konden NetNTLMv2-hashes worden buitgemaakt voor kraken of relay-aanvallen. AOMEI zegt maatregelen te hebben genomen, maar maakte niet bekend hoe de aanvallers toegang kregen. Getroffen organisaties bevonden zich onder meer in de IT-sector, telecom en het onderwijs, verspreid over meerdere landen.