AOMEI’nin güncelleme sunucuları kötü amaçlı yazılım dağıtmak için kullanıldı

Araştırmacılar, AOMEI Backupper’ın güncelleme ve bildirim altyapısının kısa süreli sunucu tarafı müdahalelerle kötü amaçlı içerik dağıtmak için istismar edildiğini söylüyor.

Araştırmacılara göre saldırganlar, AOMEI Backupper’ın güncelleme ve bildirim sistemlerini hedef aldı ve Nisan ile Temmuz 2026 arasında bu kanalı kötü amaçlı yazılım yaymak için kullandı. ManageEngine ve Google, faaliyeti UNC7017 ile ilişkilendiriyor; ayrıca CROSSROAD downloader ve SHINYROAD backdoor ile bağlantı kuruyor. Bu etkinlik, güvenilen bir yazılım kanalının dağıtım yoluna çevrilebildiğini de ortaya koyuyor.

Google ve ManageEngine, AOMEI’nin sunucularından kötü amaçlı yapılandırmanın servis edildiği üç kısa maruz kalma penceresi tespit etti. Bu pencereler 28 Mayıs, 16 Temmuz ve 20 Temmuz tarihlerinde görüldü. Saldırganlar, tespiti zorlaştırmak için yapılandırma dosyalarını dakikalar içinde geri aldı. ManageEngine ayrıca en az bir girişimde Windows authentication hash’lerini çalmaya çalışıldığını söylüyor.

ManageEngine, şüpheli faaliyeti 7 Haziran’da AOMEI’ye bildirdiğini söylüyor. Kuruma göre kötü amaçlı içerik, vendor-hosted teslimat yolunda zaten değiştirilmişti. ManageEngine, 16 Temmuz’daki olayı yakaladıktan sonra hash’leri, diff’leri ve değiştirilmiş dosyaları AOMEI’ye teslim etti. Google ise kampanyanın fırsatçı olduğunu ve kısa süreli kötü amaçlı pencerelerde güncelleme kontrolü yapan başka kuruluşlara da ulaşmış olabileceğini belirtiyor.