AOMEI heeft klanten nog niet geïnformeerd over malware-infecties na een supply-chain aanval waarbij hackers de update-servers kapten.
AOMEI, ontwikkelaar van een zelfstandige Windows-back-up tool, heeft nog geen klanten geïnformeerd over mogelijke malware-infecties na een langdurige supply-chain aanval waarbij hackers de update-servers van het bedrijf kapten. De Hongkongse firma bevestigde aan Recorded Future News dat tussen april en juli configuratiebestanden op de update-servers herhaaldelijk werden aangepast, waardoor de software tijdelijk malware downloadde.
De bevestiging volgt op gezamenlijke rapporten van cybersecuritybedrijf ManageEngine, dat de activiteit als eerste ontdekte, en de Google Threat Intelligence Group, die het verder onderzocht. Google meldde dat dit de eerste keer was dat zij een supply-chain compromis zagen met zulke korte, tijdelijke manipulaties, waardoor traditionele detectiemethoden werden omzeild.
ManageEngine waarschuwde AOMEI in juni na het detecteren van verdachte activiteiten bij twee klanten. AOMEI gaf aanvankelijk aan dat kwaadwillenden de updates onderweg onderschepten en wijzigden, en niet dat er een probleem bij henzelf was. Na twee nieuwe aanvallen, ondanks een onderzoek en het dichten van enkele kwetsbaarheden, kon AOMEI de oorzaak niet achterhalen. Pas na het rapport van ManageEngine in juli, waarin exacte tijdstippen van manipulatie werden genoemd, kon AOMEI via serverlogs sporen van de inbraak vinden en de server bijwerken. Sindsdien zijn geen kwaadaardige bestanden meer aangetroffen.
AOMEI reageerde niet op de verklaring van ManageEngine over de aanvankelijke uitleg. Het bedrijf stelde dat Google en ManageEngine hadden bevestigd dat het probleem was opgelost, hoewel ManageEngine dit niet onafhankelijk kon verifiëren. Google meldde dat zij de geïdentificeerde slachtoffers hebben geïnformeerd, die actief zijn in IT-diensten, telecommunicatie en hoger onderwijs in bijna een dozijn landen, waaronder de VS, Australië, India en Brazilië. Google waarschuwde dat het werkelijke aantal slachtoffers waarschijnlijk hoger is, omdat iedereen die tijdens de aanval vensters updates controleerde mogelijk malware ontving.
De aanvallers misbruikten niet de back-upsoftware zelf, maar het kanaal dat AOMEI gebruikt voor promotionele pop-ups, dat de configuratiebestanden niet authenticeerde. Na elke manipulatie herstelden zij de originele bestanden, waardoor latere controles niets konden vinden. Volgens ManageEngine is het updatekanaal van een back-uptools een ideale dekmantel voor aanvallers omdat het continu draait, toegang heeft tot alle bestanden en vertrouwd wordt door gebruikers.
Tijdens een aanval op 20 juli gebruikten de aanvallers een onzichtbare pop-up om Windows-wachtwoordhashes naar een door hen gecontroleerde server te sturen, een techniek die ook werkt als de malware zelf wordt geblokkeerd. Zowel Google als ManageEngine waarschuwen voor de ernst van deze supply-chain aanval en de moeilijkheid om dergelijke korte manipulatievensters te detecteren.
