Angreifer haben wiederholt Konfigurationsdateien auf den Update-Servern von AOMEI verändert und Nutzer der Windows-Backup-Anwendung AOMEI Backupper so kurzzeitig auf Malware umgeleitet. Die Lieferkettenattacke lief in kurzen Zeitfenstern zwischen April und Juli, wobei der Bericht von Recorded Future News das Jahr nicht angibt.
AOMEI, ein in Hongkong eingetragenes Softwareunternehmen, bestätigte gegenüber dem Medium per E-Mail die Manipulation auf Serverseite. Google verfolgt die Bedrohungsgruppe unter der Bezeichnung UNC7017, doch Herkunft und Motiv sind bislang nicht geklärt.
Nutzer, die Backupper während der Expositionszeiträume ausgeführt haben, benötigen möglicherweise eine Untersuchung auf Endgeräteebene. Das Aktualisieren der Server von AOMEI unterbindet den gleichen Auslieferungsweg, entfernt aber keine Malware und keine anderen Spuren auf Rechnern, die auf diesem Weg bereits erreicht wurden.
Angreifer missbrauchten einen nicht authentifizierten Pop-up-Kanal
Laut den Erkenntnissen von ManageEngine, wie Recorded Future News sie zusammenfasst, nutzten die Angreifer keine Schwachstelle in AOMEI Backupper selbst aus. Stattdessen manipulierten sie den Kanal, über den die Anwendung Werbe-Pop-ups bezieht.
Dieser Mechanismus authentifizierte seine Konfigurationsdateien nicht. In Manipulationsphasen, die nur wenige Minuten dauerten, wiesen veränderte Dateien die Software an, schädliche Inhalte herunterzuladen. Anschließend stellten die Angreifer die legitimen Konfigurationen wieder her. Dadurch sank die Wahrscheinlichkeit, dass spätere Serverprüfungen oder automatisierte Dateiscans die Änderungen entdecken.
Google berichtete, dass jeder, der während eines dieser Zeitfenster nach Updates suchte, die schädliche Auslieferung erhielt. Daraus folgt nicht, dass jedes betroffene Gerät erfolgreich infiziert wurde. Es bedeutet aber, dass der betroffene Personenkreis über die bisher bekannten Opfer hinausreichen könnte.
ManageEngine warnte AOMEI erstmals im Juni, nachdem seine Sicherheitssoftware bei zwei Kunden verdächtige Aktivitäten erkannt hatte. Laut ManageEngine führte AOMEI das Problem zunächst auf Angreifer zurück, die Updates während der Übertragung abfingen und veränderten. Nach dieser Warnung wurde die Update-Infrastruktur laut Berichten bei mindestens zwei weiteren Gelegenheiten manipuliert.
AOMEI untersuchte den Vorfall und behob, was das Unternehmen als mögliche Schwachstellen beschrieb, konnte die Ursache zu diesem Zeitpunkt aber nicht ermitteln. Im Juli ermöglichten ManageEngine übermittelte Zeitangaben dem Unternehmen, Serverdateien und Protokolle zu vergleichen. Dabei fand es nach eigenen Angaben Spuren des Eindringens. Danach aktualisierte AOMEI den Server und erklärte, anschließend keine schädlichen Dateien mehr gefunden zu haben.
Unsichtbares Pop-up legte Windows-Passwort-Hashes offen
Google beschrieb einen weiteren Effekt während des Manipulationszeitfensters vom 20. Juli: Ein unsichtbares Pop-up veranlasste betroffene Windows-Systeme, Passwort-Hashes an einen vom Angreifer kontrollierten Server zu senden.
Diese Technik könnte Zugangsdaten offenlegen, selbst wenn Sicherheitsmechanismen verhindern, dass die begleitende Malware ausgeführt wird. Besitz von Passwort-Hashes kann für Organisationen weitere Risiken schaffen, wenn dieselben Zugangsdaten an anderer Stelle in ihrer Umgebung weiterhin gültig sind.
ManageEngine berichtete außerdem, dass die ausgelieferte Malware nicht lief, wenn ein System scheinbar in China stand, wenn sein Standort nicht ermittelt werden konnte oder wenn bestimmte Sicherheitsprodukte vorhanden waren. Das Unternehmen warnte, dass der geografische Ausschluss nicht den Standort der Betreiber verrate und möglicherweise absichtlich Ermittler in die Irre führen sollte.
Opfer verteilen sich auf mehrere Branchen und Länder
Google identifizierte betroffene Organisationen aus den Bereichen IT-Dienstleistungen, Telekommunikation und Hochschulbildung in nahezu einem Dutzend Länder, darunter die USA, Australien, Indien und Brasilien. Die identifizierten Opfer hat Google benachrichtigt.
Eine genaue Zahl betroffener Organisationen oder Geräte wurde nicht genannt. Googles Einschätzung, dass die Auslieferung jedes Mal erfolgte, wenn ein Nutzer während eines Manipulationszeitfensters nach Updates suchte, legt nahe, dass die bekannten Fälle nur einen Teil der Exposition abbilden könnten.
Zum Zeitpunkt des Berichts erklärte AOMEI, es habe betroffene Kunden noch nicht identifiziert oder benachrichtigt. Das Unternehmen kündigte an, potenziell betroffene Nutzer zu prüfen und aktiv zu kontaktieren.
AOMEI und Forscher sind sich über den Umfang des Vorfalls uneinig
AOMEI erklärte, dass nur AOMEI Backupper Auffälligkeiten gezeigt habe und die eigene Überwachung keine ungewöhnlichen Aktivitäten rund um AnyViewer festgestellt habe, das Remote-Desktop-Produkt des Unternehmens. ManageEngine hingegen sagte, Googles Erkenntnisse dokumentierten gezielte Angriffe auf AnyViewer. Die verfügbaren Berichte lösen diesen Widerspruch nicht auf.
Auch darüber, ob die Angreifer den Zugriff endgültig verloren haben, gibt es unterschiedliche Aussagen. AOMEI erklärte, Google und ManageEngine hätten ihm mitgeteilt, das Problem sei behoben. ManageEngine sagte, es habe nicht unabhängig feststellen können, dass UNC7017 keinen Zugriff mehr auf die Infrastruktur von AOMEI hat.
Backupper-Nutzer sollten den gesamten Expositionszeitraum untersuchen
AOMEI hat ein kostenloses Erkennungswerkzeug veröffentlicht und empfiehlt Personen, die Backupper während der Expositionszeiträume ausgeführt haben, die Anwendung zu aktualisieren und ihre Systeme zu prüfen. Organisationen sollten relevante Endgeräte und Zugangsdaten für den gesamten Zeitraum von April bis Juli untersuchen und nicht nur den Tag, an dem der Server aktualisiert wurde.
Da die Aktivität vom 20. Juli Windows-Passwort-Hashes übertragen konnte, ohne dass die Malware erfolgreich ausgeführt werden musste, reicht ein sauberer Malware-Scan allein möglicherweise nicht aus, um alle Folgen zu erfassen. Sicherheitsteams sollten mögliche Offenlegung von Zugangsdaten in ihre Reaktion einbeziehen und für Konten, die mit Systemen verbunden sind, die während der dokumentierten Zeitfenster Verbindung zur Infrastruktur von AOMEI aufgenommen haben, geeignete Maßnahmen ergreifen.
