Des attaquants ont modifié à plusieurs reprises des fichiers de configuration sur les serveurs de mise à jour d'AOMEI, redirigeant brièvement les utilisateurs de l'application de sauvegarde Windows AOMEI Backupper vers des logiciels malveillants. Cette attaque de la chaîne d'approvisionnement a fonctionné par courtes fenêtres entre avril et juillet, sans toutefois que le rapport de Recorded Future News précise l'année.
AOMEI, société enregistrée à Hong Kong, a confirmé par courriel au média la manipulation côté serveur. Le groupe de menace suivi par Google sous le nom de UNC7017, mais son origine et ses motivations n'ont pas été établies.
Les utilisateurs ayant lancé Backupper pendant les périodes d'exposition peuvent devoir faire l'objet d'une investigation au niveau de leurs terminaux. La mise à jour des serveurs d'AOMEI empêche ce vecteur de diffusion de fonctionner, mais elle ne supprime pas les logiciels malveillants ni les autres traces laissées sur les machines déjà touchées par cette voie.
Les attaquants ont exploité un canal de fenêtres pop-up non authentifié
Selon les conclusions de ManageEngine, telles que résumées par Recorded Future News, les attaquants n'ont pas exploité une vulnérabilité dans AOMEI Backupper lui-même. Ils ont plutôt manipulé le canal que l'application utilise pour afficher ses fenêtres pop-up promotionnelles.
Ce mécanisme n'authentifiait pas ses fichiers de configuration. Pendant des périodes de manipulation ne durant que quelques minutes, les fichiers modifiés ordonnaient au logiciel de télécharger du contenu malveillant. Les attaquants restauraient ensuite les configurations légitimes, ce qui réduisait la probabilité que des inspections ultérieures des serveurs ou des analyses automatisées de fichiers détectent les modifications.
Google indique que toute personne vérifiant les mises à jour pendant l'une de ces fenêtres recevait la livraison malveillante. Cela ne permet pas d'affirmer que chaque appareil exposé a effectivement été infecté, mais cela signifie que la population touchée pourrait dépasser les victimes déjà identifiées.
ManageEngine a alerté AOMEI pour la première fois en juin, après que son logiciel de sécurité a détecté une activité suspecte chez deux clients. ManageEngine indique qu'AOMEI avait d'abord attribué le problème à des attaquants interceptant et modifiant les mises à jour en transit. Après cette alerte, l'infrastructure de mise à jour aurait été manipulée à au moins deux reprises supplémentaires.
AOMEI a mené une enquête et corrigé ce qu'elle décrivait comme des vulnérabilités potentielles, mais elle n'a pas identifié la cause profonde à ce stade. En juillet, des informations chronologiques fournies par ManageEngine ont permis à l'entreprise de comparer les fichiers et les journaux des serveurs, où elle affirme avoir trouvé des traces de l'intrusion. AOMEI a ensuite mis à jour le serveur et indique n'avoir relevé aucun fichier malveillant après cette mise à jour.
Une fenêtre pop-up invisible a exposé des hachages de mots de passe Windows
Google décrit un effet distinct lors de la période de manipulation du 20 juillet : une fenêtre pop-up invisible a poussé les systèmes Windows touchés à envoyer leurs hachages de mots de passe à un serveur contrôlé par les attaquants.
Cette technique pourrait exposer des identifiants même si les contrôles de sécurité empêchaient l'exécution du logiciel malveillant associé. La possession de hachages de mots de passe peut créer un risque supplémentaire pour les organisations si ces mêmes identifiants restent utilisables ailleurs dans leur environnement.
ManageEngine signale également que le logiciel malveillant livré cessait de fonctionner lorsqu'un système semblait se trouver en Chine, lorsque sa localisation ne pouvait pas être déterminée, ou lorsque certains produits de sécurité étaient présents. L'entreprise met en garde : cette exclusion géographique n'indique pas où se trouvent les opérateurs et pourrait avoir été conçue pour induire les enquêteurs en erreur.
Les victimes couvrent plusieurs secteurs et pays
Google a identifié des organisations touchées dans les services informatiques, les télécommunications et l'enseignement supérieur, dans près d'une dizaine de pays, dont les États-Unis, l'Australie, l'Inde et le Brésil. Google a notifié les victimes qu'elle avait identifiées.
Aucun décompte précis des organisations ou des appareils touchés n'a été communiqué. L'évaluation de Google, selon laquelle la livraison avait lieu chaque fois qu'un utilisateur vérifiait les mises à jour pendant une période de manipulation, laisse penser que les cas connus ne représentent peut-être qu'une partie de l'exposition.
Au moment du rapport, AOMEI indiquait n'avoir pas encore identifié ni notifié les clients touchés. L'entreprise a annoncé son intention d'évaluer les utilisateurs potentiellement concernés et de les contacter de manière proactive.
AOMEI et les chercheurs divergent sur l'étendue de l'incident
AOMEI affirme que seul AOMEI Backupper présentait des anomalies et que sa surveillance n'a relevé aucune activité anormale impliquant AnyViewer, son produit de bureau à distance. ManageEngine, en revanche, indique que les constats de Google documentent un ciblage d'AnyViewer. Les informations disponibles ne permettent pas de trancher ce désaccord.
Les avis divergent aussi sur la question de savoir si les attaquants ont définitivement perdu l'accès. AOMEI indique que Google et ManageEngine lui avaient affirmé que le problème était résolu. ManageEngine précise qu'il n'a pas établi de manière indépendante qu'UNC7017 ne pouvait plus accéder à l'infrastructure d'AOMEI.
Les utilisateurs de Backupper doivent examiner l'intégralité de la période d'exposition
AOMEI a publié un outil de détection gratuit et conseille aux personnes ayant lancé Backupper pendant les périodes d'exposition de mettre à jour l'application et d'analyser leurs systèmes. Les organisations devraient examiner les terminaux et les identifiants concernés sur toute la période d'avril à juillet, plutôt que de limiter les vérifications au jour de la mise à jour du serveur.
Comme l'activité du 20 juillet pouvait transmettre des hachages de mots de passe Windows sans reposer sur l'exécution réussie d'un logiciel malveillant, une analyse antivirus sans détection ne suffit peut-être pas à traiter toutes les conséquences. Les équipes de sécurité devraient intégrer l'exposition possible des identifiants à leur réponse et prendre les mesures appropriées pour les comptes associés aux systèmes ayant contacté l'infrastructure d'AOMEI pendant les périodes documentées.
