Votre logiciel de sauvegarde a vérifié les mises à jour. Pendant dix minutes, la réponse était une porte dérobée

Dix minutes le 28 mai. Six minutes le 16 juillet. Cinq minutes le 20 juillet. Ce sont les fenêtres que le Threat Intelligence Group de Google et Mandiant ont pu confirmer, pendant lesquelles AOMEI Backupper, un outil de sauvegarde gratuit très répandu sous Windows, a servi autre chose qu'une mise à jour à quiconque la demandait. Leur rapport, publié le 16 octobre, précise qu'il y a probablement eu d'autres fenêtres qu'ils n'ont pas vues.

Personne n'a cassé le programme. Backupper récupère deux petits fichiers texte sur les serveurs d'AOMEI : l'un nomme le paquet de mise à jour et sa somme de contrôle, l'autre indique au service de notification quoi afficher et quoi exécuter. Le logiciel ne vérifie la signature d'aucun des deux, et la somme de contrôle se trouve dans le même fichier non signé qu'elle est censée vérifier. Les attaquants, suivis sous le nom UNC7017, ont donc modifié ces fichiers côté éditeur, attendu quelques minutes, puis remis les originaux. Un PC qui a vérifié les mises à jour entre-temps a téléchargé un chargeur appelé CROSSROAD, qui a créé une tâche planifiée s'exécutant toutes les trois heures avant de s'effacer. La tâche lance une copie authentique et signée de l'outil de contrôle à distance Radmin, qui charge une porte dérobée que les chercheurs appellent SHINYROAD. Des victimes ont été trouvées dans 11 pays, dont les États-Unis, l'Espagne, le Portugal et la Suisse.

AOMEI dit avoir sécurisé ses serveurs le 29 juillet. Cela empêche de nouvelles infections. Cela ne fait rien pour une machine touchée en mai ou en juillet, et c'est pourquoi le seul conseil honnête est d'aller regarder. Ouvrez le Planificateur de tâches et cherchez une tâche nommée RadminComponentRuntime ou NitroRuntime ; aucune des deux n'a sa place sur un PC familial. Vérifiez s'il existe un dossier Radmin dans vos données d'application locales que vous n'avez jamais installé. Si vous trouvez l'un ou l'autre, changez vos mots de passe depuis un autre appareil et faites nettoyer la machine. La version actuelle de Backupper, la 8.5.0 du 9 octobre, n'indique toujours aucun changement dans la vérification des mises à jour.

Le contrôle Sécurité de Tendvane liste les tâches planifiées et les programmes qui se cachent derrière, exactement là où celle-ci se dissimule ; et sa propre sauvegarde copie vos Documents, Images et Bureau avec les outils Windows de base, qui ne contactent jamais un serveur pour une mise à jour.