שרתי העדכון של AOMEI Backupper שובשו לדקות ספורות והפיצו דלת אחורית

לפי דיווחים של Google Threat Intelligence Group ושל מעבדת ManageEngine, תוקפים שיבשו קובצי עדכון בשרתי AOMEI בחלונות של דקות ספורות. תוכנת הגיבוי AOMEI Backupper שבדקה עדכון באותן דקות הורידה והריצה דלת אחורית. לא נוצלה פגיעות בתוכנה עצמה.

הפרטים

ManageEngine זיהתה את הפעילות ב-28 במאי, כשנצפתה התקנת Radmin על ידי Backupper אצל שני לקוחות לא קשורים. GTIG הודיעה ל-AOMEI ב-17 ביולי. שני קובצי תצורה שמנהלים את העדכון, down_html.ini ו-Notifycfg.ini, אינם חתומים, וסכום הביקורת נמצא באותו קובץ שהוא אמור לאמת.

החלונות שנצפו (UTC): 28 במאי (10 דקות), 16 ביולי (6 דקות) ו-20 ביולי (5 דקות). GTIG מעריכה שהיו חלונות נוספים שלא נצפו. הקורבנות שאושרו הם בתחומי שירותי IT, תקשורת והשכלה גבוהה ב-11 מדינות. הקבוצה, שמסומנת UNC7017, לא יוחסה למדינה. שרשרת הנוזקה: מוריד בשם CROSSROAD מפרק חבילה הכוללת Radmin לגיטימי וחתום, ומתזמן משימה כל שלוש שעות; השתל SHINYROAD מספק מעטפת מרחוק. בחלק מהמכונות הותקן בהמשך גם Adaptix C2 שהתחזה לתוכנת PDF. בעדכון מ-20 ביולי נוסף חלון קופץ בגודל פיקסל שמצביע ל-WebDAV של התוקף, ועלול לדלוף תגובת NetNTLMv2 גם בלי הרצת קוד.

AOMEI טענה תחילה שהתוכן שונה בדרך, אך ManageEngine מסרה שהראיות סותרות זאת, שכן הקבצים נמשכו ישירות מהשרתים ב-HTTPS. ב-29 ביולי מסרה AOMEI ל-Mandiant שנקטה צעדי תיקון. הדיווחים אינם מציינים גרסאות מושפעות, כיצד נפרצו השרתים, או גרסה מתוקנת; ManageEngine בדקה גרסה 8.3.0, ו-GTIG ציינה שגם AnyViewer משתמשת באותו מנגנון עדכון.

נקודות לשים לב

חפש בכל התקופה אפריל–יולי 2026. תיקון בשרת אינו מנקה מחשב נגוע, והמוריד מחזיר את קובץ העדכון המקומי לתוכן לגיטימי, כך שמכונה נגועה עשויה להיראות תקינה.
חפש משימות מתוזמנות בשם RadminComponentRuntime או NitroRuntime, קובץ upgrade-now.exe לא חתום עם פרטי מפרסם של AOMEI, ותוכנות שרצות מתיקיית החלון הקופץ של Backupper.
חסום וחפש ברשת את הדומיין storage-data[.]com ותת-הדומיינים שלו, ואת הכתובות 8.210.84[.]56, 8.218.65[.]184 ו-47.239.60[.]117.
חסום SMB (פורט 445) ו-WebDAV יוצאים לכתובות חיצוניות, כדי להקטין את הסיכון לדליפת אישורי NTLM.
אל תאמת התראה מול דף ההורדה הנוכחי של היצרן, כי הוא בדרך כלל מגיש קבצים נקיים. שמור את הקבצים השמורים בתיקיות התוכנה ובדוק בלוגי הרשת מה הוגש בזמן ההתראה.