Ihr Backup-Programm hat nach einem Update gefragt. Zehn Minuten lang war die Antwort eine Hintertür

Zehn Minuten am 28. Mai. Sechs Minuten am 16. Juli. Fünf Minuten am 20. Juli. Das sind die Zeitfenster, die Googles Threat Intelligence Group und Mandiant bestätigen konnten, in denen AOMEI Backupper, ein verbreitetes kostenloses Backup-Programm für Windows, jedem, der fragte, etwas anderes als ein Update lieferte. Ihr Bericht vom 16. Oktober sagt, es gab wahrscheinlich weitere Fenster, die sie nicht gesehen haben.

Niemand hat das Programm geknackt. Backupper holt zwei kleine Textdateien von AOMEIs Servern: Eine nennt das Update-Paket und seine Prüfsumme, die andere sagt dem Benachrichtigungsdienst, was er anzeigen und ausführen soll. Die Software prüft bei keiner der beiden die Signatur, und die Prüfsumme steht in derselben unsignierten Datei, die sie eigentlich absichern soll. Die Angreifer, geführt als UNC7017, änderten also diese Dateien auf Herstellerseite, warteten ein paar Minuten und stellten die Originale wieder her. Ein PC, der dazwischen nach Updates suchte, lud einen Lader namens CROSSROAD, der eine alle drei Stunden laufende geplante Aufgabe anlegte und sich dann selbst löschte. Die Aufgabe startet eine echte, signierte Kopie des Fernwartungstools Radmin, die eine Hintertür lädt, die die Forscher SHINYROAD nennen. Opfer fanden sich in 11 Ländern, darunter die USA, Spanien, Portugal und die Schweiz.

AOMEI sagt, die Server seien am 29. Juli abgesichert worden. Das stoppt neue Infektionen. Einer Maschine, die im Mai oder Juli erwischt wurde, hilft es nicht, und deshalb lautet der einzige ehrliche Rat: nachsehen. Öffnen Sie die Aufgabenplanung und suchen Sie nach einer Aufgabe namens RadminComponentRuntime oder NitroRuntime; keine von beiden gehört auf einen privaten PC. Prüfen Sie, ob unter Ihren lokalen Anwendungsdaten ein Radmin-Ordner liegt, den Sie nie installiert haben. Finden Sie eines davon, ändern Sie Ihre Passwörter von einem anderen Gerät aus und lassen Sie den Rechner bereinigen. Die aktuelle Backupper-Version 8.5.0 vom 9. Oktober nennt weiterhin keine Änderung an der Update-Prüfung.

Tendvanes Sicherheitsprüfung listet geplante Aufgaben und die Programme dahinter, also genau den Ort, an dem sich diese versteckt; und sein eigenes Backup kopiert Dokumente, Bilder und Desktop mit schlichten Windows-Bordmitteln, die nie wegen eines Updates nach Hause telefonieren.