Un sofisticato attacco alla supply chain ha sfruttato l'infrastruttura di aggiornamento di AOMEI per distribuire malware, prendendo di mira organizzazioni in diversi settori e paesi. L'operazione, attribuita al gruppo UNC7017, ha eluso i controlli di sicurezza manipolando file di configurazione.
Un'operazione di supply chain attack di notevole complessità ha preso di mira l'infrastruttura di aggiornamento di AOMEI Technology, una nota azienda di software, con l'obiettivo di distribuire backdoor nascoste. L'attacco, tracciato come UNC7017, è stato attivo tra aprile e luglio 2026, durante i quali gli aggressori hanno temporaneamente alterato le configurazioni dei server per veicolare codice malevolo, per poi ripristinare i contenuti legittimi prima che i normali controlli di sicurezza potessero rilevare la compromissione.
La scoperta iniziale è avvenuta grazie a ManageEngine, il cui Threat Analysis Lab ha individuato attività sospette tramite telemetria degli endpoint il 28 maggio. Queste rilevazioni hanno permesso agli investigatori di ricostruire le infezioni, nonostante i successivi controlli sui server del fornitore non fossero in grado di riprodurre il problema.
Le vittime identificate appartengono a settori critici come i servizi IT, le telecomunicazioni e l'istruzione superiore, distribuite in undici paesi, tra cui Australia, Brasile, India e Stati Uniti. L'esposizione è stata opportunistica: i sistemi che interrogavano l'infrastruttura compromessa durante le finestre di manipolazione attiva potevano ricevere il malware. È quindi probabile che le vittime identificate rappresentino solo una frazione della reale portata della campagna.
Invece di modificare permanentemente i file eseguibili rilasciati, UNC7017 ha sfruttato due file di configurazione chiave: down_html.ini e Notifycfg.ini. Il primo file definiva la posizione del pacchetto software e il suo checksum MD5 atteso, mentre il secondo indirizzava il componente di notifica verso contenuti capaci di innescare l'esecuzione locale sul sistema vittima. Gli aggressori modificavano la destinazione del download, incrementavano i valori di versione e fornivano un checksum corrispondente per l'archivio malevolo. Poiché il client software non autenticava autonomamente queste configurazioni, la sostituzione sia del riferimento al pacchetto che del suo valore di integrità permetteva al download compromesso di superare i controlli dell'applicazione.
Questo approccio non ha richiesto lo sfruttamento di vulnerabilità note (CVE) o exploit di corruzione della memoria. Le finestre di esposizione confermate sono state estremamente brevi: dieci minuti il 28 maggio, sei minuti il 16 luglio e cinque minuti il 20 luglio. Durante queste brevi finestre, il software di aggiornamento legittimo di AOMEI, come AOMEI Backupper e AnyViewer, è stato utilizzato per distribuire il downloader CROSSROAD e la backdoor SHINYROAD.
Dopo le brevi finestre di attacco, le configurazioni autentiche venivano ripristinate, lasciando gli investigatori di fronte a un'infrastruttura apparentemente pulita, mentre le registrazioni degli endpoint conservavano le prove della compromissione precedente. Il monitoraggio continuo ha infine permesso di catturare il contenuto malevolo durante la fase di distribuzione.
L'aggiornamento malevolo, distribuito sotto forma di upgrade-now.zip contenente upgrade-now.exe, è stato identificato come CROSSROAD. Questo downloader verificava l'ambiente di esecuzione, recuperava componenti aggiuntivi e creava un'attività pianificata (RadminComponentRuntime) per lanciare un eseguibile Radmin ogni tre ore, per poi auto-eliminarsi e ridurre le prove forensi recuperabili.
La fase successiva sfruttava un legittimo Radmin launcher firmato per caricare una DLL malevola (BlkScrDl.dll) tramite una tecnica nota come DLL search-order hijacking. Componenti aggiuntivi decrittavano un payload PocketPy incorporato, abilitando comunicazioni Command and Control (C2) in uscita, esecuzione di shell e la consegna di ulteriore codice, senza dipendere da un listener Radmin attivo.
L'infrastruttura C2 utilizzata dagli aggressori si è evoluta nel tempo, passando da storage su Alibaba Cloud a domini che imitavano quelli del vendor e a Google Cloud Storage. Attività successive hanno introdotto strumenti C2 come Adaptix, mascherati da componenti di Nitro PDF, complicando le difese basate esclusivamente sulla reputazione dei domini o sui nomi dei file malevoli riconoscibili.
Una modifica separata del 20 luglio ha sostituito contenuti promozionali con una finestra invisibile che faceva riferimento a una risorsa WebDAV controllata dall'attaccante. Questo poteva indurre la trasmissione di credenziali di autenticazione NetNTLMv2 anche in caso di fallimento o blocco della catena di esecuzione del malware.
L'operazione UNC7017 si distingue da attacchi noti come SolarWinds e 3CX, che hanno distribuito componenti software trojanizzati. In questo caso, UNC7017 ha manipolato la consegna guidata da configurazioni, senza necessità di modifiche persistenti ai binari dell'applicazione rilasciata. AOMEI ha dichiarato di aver intrapreso azioni correttive sull'infrastruttura, ma al momento della pubblicazione dell'indagine, ManageEngine non aveva verificato in modo indipendente il contenimento della minaccia.
I difensori sono invitati a esaminare la telemetria storica alla ricerca di eseguibili lanciati dalle directory di rendering di AOMEI, DLL Radmin inattese e attività pianificate sospette. È fondamentale comprendere che la rimozione dei server compromessi o il ripristino di una configurazione pulita non eliminano le backdoor precedentemente installate sugli endpoint, né possono rivelare quali contenuti sono stati scaricati durante le brevi finestre di attacco o se le credenziali sono state esposte tramite il canale di notifica.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
