Los atacantes modificaron repetidamente los archivos de configuración de los servidores de actualización de AOMEI y, durante breves ventanas temporales, redirigieron a los usuarios de la aplicación de copias de seguridad para Windows AOMEI Backupper hacia malware. El ataque a la cadena de suministro funcionó en periodos cortos entre abril y julio, aunque el informe de Recorded Future News no especifica el año.
AOMEI, una empresa de software registrada en Hong Kong, confirmó por correo electrónico a la publicación la manipulación de su servidor. Google sigue al grupo de amenazas como UNC7017, pero su origen y sus motivos no se han establecido.
Es posible que los usuarios que ejecutaron Backupper durante las ventanas de exposición necesiten una investigación a nivel de equipo. Actualizar los servidores de AOMEI impide que la misma vía de distribución siga activa, pero no elimina el malware ni otros rastros en las máquinas que ya hayan sido alcanzadas por ella.
Los atacantes abusaron de un canal de ventanas emergentes sin autenticación
Según las conclusiones de ManageEngine, resumidas por Recorded Future News, los atacantes no explotaron una vulnerabilidad de AOMEI Backupper en sí. En cambio, manipularon el canal que la aplicación utiliza para mostrar ventanas emergentes promocionales.
Ese mecanismo no autenticaba sus archivos de configuración. Durante periodos de manipulación que duraban solo minutos, los archivos alterados ordenaban al software descargar contenido malicioso. Después, los atacantes restauraron las configuraciones legítimas, lo que reducía la probabilidad de que inspecciones posteriores del servidor o análisis automatizados de archivos detectaran los cambios.
Google informó de que cualquier persona que buscara actualizaciones durante una de esas ventanas recibía la descarga maliciosa. Eso no permite afirmar que todos los dispositivos expuestos se infectaran con éxito, pero sí significa que la población afectada podría ser mayor que las víctimas identificadas hasta ahora.
ManageEngine alertó por primera vez a AOMEI en junio, después de que su software de seguridad detectara actividad sospechosa en dos clientes. Según ManageEngine, AOMEI atribuyó inicialmente el problema a atacantes que interceptaban y modificaban las actualizaciones durante su transmisión. Tras esa advertencia, la infraestructura de actualización habría sido manipulada al menos en dos ocasiones más.
AOMEI investigó y corrigió lo que describió como posibles vulnerabilidades, pero en ese momento no identificó la causa raíz. En julio, la información temporal facilitada por ManageEngine permitió a la compañía comparar archivos y registros del servidor, donde, según indicó, encontró rastros de la intrusión. Después, AOMEI actualizó el servidor e informó de que no encontró archivos maliciosos posteriormente.
Una ventana emergente invisible expuso hashes de contraseñas de Windows
Google describió un efecto distinto durante la ventana de manipulación del 20 de julio: una ventana emergente invisible hacía que los sistemas Windows afectados enviaran hashes de contraseñas a un servidor controlado por los atacantes.
Esta técnica podía exponer credenciales incluso si los controles de seguridad impedían que se ejecutara el malware que la acompañaba. La posesión de hashes de contraseñas puede generar riesgos adicionales para las organizaciones si esas mismas credenciales siguen siendo utilizables en otros entornos.
ManageEngine también informó de que el malware distribuido dejaba de ejecutarse cuando el sistema parecía encontrarse en China, cuando no se podía determinar su ubicación o cuando había determinados productos de seguridad instalados. La compañía advirtió de que esta exclusión geográfica no revela la ubicación de los operadores y podría haberse diseñado para despistar a los investigadores.
Las víctimas abarcan varios sectores y países
Google identificó organizaciones afectadas en los sectores de servicios de TI, telecomunicaciones y educación superior, en casi una docena de países, entre ellos Estados Unidos, Australia, India y Brasil. La compañía notificó a las víctimas que había identificado.
No se facilitó un recuento preciso de organizaciones ni de dispositivos afectados. La conclusión de Google de que la descarga se producía siempre que un usuario buscaba actualizaciones durante una ventana de manipulación sugiere que los casos conocidos podrían representar solo una parte de la exposición.
En el momento del informe, AOMEI afirmó que todavía no había identificado ni notificado a los clientes afectados. La compañía indicó que planeaba evaluar a los usuarios potencialmente afectados y contactar con ellos de forma proactiva.
AOMEI e investigadores difieren sobre el alcance del incidente
AOMEI declaró que solo AOMEI Backupper mostró anomalías y que su monitorización no detectó actividad anómala relacionada con AnyViewer, el producto de escritorio remoto de la compañía. ManageEngine, en cambio, afirmó que los hallazgos de Google documentaban que AnyViewer había sido objetivo de los atacantes. La información disponible no resuelve esta contradicción.
También hay desacuerdo sobre si los atacantes han perdido el acceso de forma definitiva. AOMEI afirmó que Google y ManageEngine le habían comunicado que el problema estaba resuelto. ManageEngine, por su parte, indicó que no había comprobado de forma independiente que UNC7017 ya no pudiera acceder a la infraestructura de AOMEI.
Los usuarios de Backupper deben investigar todo el periodo de exposición
AOMEI ha publicado una herramienta gratuita de detección y ha recomendado a quienes ejecutaron Backupper durante las ventanas de exposición que actualicen la aplicación y analicen sus sistemas. Las organizaciones deberían revisar los equipos y las credenciales relevantes durante todo el periodo de abril a julio, y no limitar las comprobaciones al día en que se actualizó el servidor.
Dado que la actividad del 20 de julio podía transmitir hashes de contraseñas de Windows sin depender de la ejecución exitosa del malware, un análisis de malware limpio por sí solo puede no resolver todas las consecuencias. Los equipos de seguridad deberían incluir la posible exposición de credenciales en su respuesta y tomar las medidas oportunas con las cuentas asociadas a sistemas que se hayan conectado con la infraestructura de AOMEI durante las ventanas documentadas.
