Aanvallers misbruikten update-servers van AOMEI Backupper voor supplychain-aanvallen, waarbij malware kortstondig werd verspreid naar gebruikers.
De update-servers van AOMEI Backupper zijn meerdere keren gebruikt om gebruikers te infecteren met malware, zo melden Google en ManageEngine. AOMEI Backupper is software voor back-ups, disk cloning en disaster recovery. Onderzoekers ontdekten dat de update-server werd ingezet voor een supplychain-aanval waarbij malafide updates slechts kortstondig, tussen vijf en tien minuten, aan gebruikers werden aangeboden. Daarna ontvingen systemen weer de reguliere updates.
Alle systemen die tijdens deze korte vensters verbinding maakten met de update-server, ontvingen zo malware. Google rapporteert aanvallen op 28 mei, 16 juli en 20 juli, maar sluit niet uit dat er meer momenten zijn geweest. De dropper-malware die via de updates werd geïnstalleerd verwijderde zichzelf, wat het onderzoek bemoeilijkte. Twee klanten van ManageEngine werden op 28 mei getroffen; één organisatie meldde de aanval op 7 juni, toen de malware al verdwenen was. Dankzij opgeslagen EDR-gegevens en telemetrie kon ManageEngine toch informatie verzamelen.
ManageEngine nam contact op met AOMEI, dat aanvankelijk stelde dat de bestanden onderweg waren aangepast. Onderzoek wees echter uit dat de bestanden al bij AOMEI waren gewijzigd. Omdat de originele bestanden ontbraken, kon niet worden aangetoond dat de infrastructuur van AOMEI zelf de malware verspreidde. Door monitoring van specifieke AOMEI-url's werd op 16 juli bewijs gevonden dat aanvallers configuratiebestanden zes minuten wijzigden, waardoor clients malware ontvingen in de vorm van een backdoor.
Op 20 juli ontdekte Google een nieuwe aanval waarbij via een malafide update een html-bestand werd geladen. Dit bestand liet systemen via SMB of WebDAV verbinding maken met de server van de aanvallers, die zo NetNTLMv2-hashes van systemen konden verkrijgen. Deze hashes kunnen worden gekraakt of gebruikt voor relay-aanvallen. Na melding nam AOMEI corrigerende maatregelen, maar het is onbekend hoe de aanvallers de configuratiebestanden konden aanpassen.
Volgens Google bevinden slachtoffers zich in diverse sectoren, waaronder IT-dienstverlening, telecommunicatie en onderwijs, verspreid over landen als Australië, Brazilië, India, Pakistan, Portugal, Singapore, Zuid-Afrika, Spanje, Zwitserland, Turkije en de Verenigde Staten. De onderzoekers vermoeden dat meer organisaties getroffen zijn dan zij hebben kunnen vaststellen.
