Attaccanti hanno sfruttato una falla nella catena di approvvigionamento di AOMEI Backupper, iniettando una backdoor attraverso aggiornamenti malevoli distribuiti per brevi finestre temporali. L'attacco non ha sfruttato vulnerabilità software, ma la mancanza di verifica crittografica dei file di configurazione.
Un'interessante campagna di attacco alla supply chain ha preso di mira gli utenti di AOMEI Backupper, un popolare software di backup e clonazione di dischi per Windows. Ricercatori di Google Threat Intelligence Group (GTIG), Mandiant e ManageEngine Threat Analysis Lab hanno svelato come gli aggressori siano riusciti a distribuire una backdoor modificando i file di configurazione sui server di aggiornamento del fornitore, AOMEI Technology, per brevi periodi di tempo.
L'attacco, avvenuto tra maggio e luglio 2026, non ha sfruttato alcuna vulnerabilità nel codice di AOMEI Backupper. Invece, gli attaccanti hanno approfittato della modalità con cui il software verifica gli aggiornamenti. Due file di configurazione, down_html.ini e Notifycfg.ini, scaricati dai server di AOMEI tramite HTTPS, sono cruciali per il processo di aggiornamento e per la visualizzazione di notifiche o pop-up promozionali. Il problema risiede nel fatto che questi file di testo non sono protetti da alcuna verifica crittografica. In particolare, il checksum utilizzato per validare l'autenticità del pacchetto di aggiornamento è contenuto nello stesso file down_html.ini, che a sua volta non è firmato digitalmente.
Questo significa che, durante specifiche finestre temporali, gli aggressori potevano sostituire questi file con versioni malevole. Qualsiasi istanza di AOMEI Backupper che si connetteva ai server di AOMEI per verificare la presenza di aggiornamenti durante queste finestre, scaricava e installava inconsapevolmente la backdoor. Una volta eseguito, il codice malevolo operava con i privilegi del processo AOMEI, permettendo potenzialmente l'installazione di software a livello di sistema.
I ricercatori hanno identificato tre finestre temporali specifiche in cui si sono verificati i tampering:
L'attacco è stato descritto come opportunistico, poiché mirava a colpire qualsiasi sistema che si connettesse durante questi brevi intervalli. Le copie del software che si aggiornavano prima o dopo queste finestre ricevevano file legittimi, rendendo l'attacco difficile da individuare. GTIG ha rilevato organizzazioni colpite in 11 paesi, tra cui Australia, Brasile, India, Pakistan, Portogallo, Singapore, Sudafrica, Spagna, Svizzera, Turchia e Stati Uniti, operanti nei settori dei servizi IT, telecomunicazioni e istruzione superiore.
Una volta che una macchina veniva compromessa, il file malevolo scaricato, denominato CROSSROAD da GTIG, decompattava un pacchetto in una cartella locale. Questo pacchetto includeva una copia firmata e legittima di Radmin, uno strumento di amministrazione remota commerciale, che però veniva configurato per caricare una DLL malevola creata dall'attaccante. Questa DLL, a sua volta, caricava l'implant SHINYROAD, che forniva una shell remota e la capacità di scaricare ed eseguire ulteriore codice. SHINYROAD comunicava con un singolo indirizzo IP hardcoded, rendendo il blocco di quell'indirizzo una misura efficace per interrompere il controllo dell'attaccante.
CROSSROAD presentava anche dei controlli di geolocalizzazione, rifiutandosi di operare se rilevava che la macchina si trovasse in Cina. Inoltre, GTIG ha osservato che CROSSROAD poteva essere bloccato dalla presenza di specifici agenti di sicurezza. Su alcune macchine compromesse, è stato successivamente rilevato un ulteriore strumento, il framework Adaptix C2, mascherato da software Nitro PDF.
Durante la finestra del 20 luglio, gli attaccanti hanno impiegato una tattica aggiuntiva che non richiedeva l'esecuzione di alcun programma. Hanno modificato il file di notifica per aprire un pop-up invisibile che puntava a un file su un server controllato dall'attaccante tramite WebDAV. L'apertura di questo pop-up poteva indurre Windows a inviare la risposta di autenticazione NetNTLMv2 dell'utente connesso, un token che poteva essere successivamente utilizzato per attacchi di pass-the-hash o per ottenere credenziali.
AOMEI ha dichiarato di aver risolto il problema sui propri server. Tuttavia, le macchine già infettate necessitano di interventi manuali per rimuovere la backdoor. Gli esperti raccomandano agli utenti di AOMEI Backupper di verificare la presenza di attività sospette sui propri sistemi e di considerare la reinstallazione del software da fonti attendibili, assicurandosi che tutte le patch di sicurezza siano applicate. L'incidente sottolinea l'importanza critica della verifica crittografica dei file scaricati, anche quelli che sembrano innocui file di configurazione, nella protezione contro gli attacchi alla supply chain.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
