Tu programa de copias de seguridad buscó una actualización. Durante diez minutos, la respuesta fue una puerta trasera
Diez minutos el 28 de mayo. Seis minutos el 16 de julio. Cinco minutos el 20 de julio. Esas son las ventanas que el Threat Intelligence Group de Google y Mandiant pudieron confirmar en las que AOMEI Backupper, una popular herramienta gratuita de copias de seguridad para Windows, entregó a quien lo pidiera algo distinto de una actualización. Su informe, publicado el 16 de octubre, dice que probablemente hubo más ventanas que no vieron.
Nadie rompió el programa. Backupper descarga dos pequeños archivos de texto de los servidores de AOMEI: uno nombra el paquete de actualización y su suma de comprobación, el otro le dice al servicio de avisos qué mostrar y qué ejecutar. El software no verifica la firma de ninguno, y la suma de comprobación está dentro del mismo archivo sin firmar que debería verificar. Así que los atacantes, identificados como UNC7017, editaron esos archivos en el lado del fabricante, esperaron unos minutos y devolvieron los originales. Un PC que comprobó actualizaciones entre medias descargó un cargador llamado CROSSROAD, que creó una tarea programada que se ejecuta cada tres horas y luego se borró a sí mismo. La tarea arranca una copia genuina y firmada de la herramienta de control remoto Radmin, que carga una puerta trasera que los investigadores llaman SHINYROAD. Se encontraron víctimas en 11 países, entre ellos Estados Unidos, España, Portugal y Suiza.
AOMEI dice que aseguró sus servidores el 29 de julio. Eso frena las nuevas infecciones. No hace nada por una máquina atrapada en mayo o julio, y por eso el único consejo honesto es mirar. Abre el Programador de tareas y busca una tarea llamada RadminComponentRuntime o NitroRuntime; ninguna de las dos pinta nada en un PC doméstico. Comprueba si hay una carpeta Radmin en tus datos de aplicación locales que nunca instalaste. Si encuentras cualquiera de las dos, cambia tus contraseñas desde otro dispositivo y haz limpiar la máquina. El Backupper actual, 8.5.0 del 9 de octubre, sigue sin mencionar ningún cambio en cómo verifica las actualizaciones.
La revisión de Seguridad de Tendvane lista las tareas programadas y los programas que hay detrás, justo donde se esconde esta; y su propia copia de seguridad copia Documentos, Imágenes y Escritorio con herramientas básicas de Windows que nunca llaman a casa en busca de una actualización.