Il tuo programma di backup ha controllato gli aggiornamenti. Per dieci minuti la risposta è stata una backdoor
Dieci minuti il 28 maggio. Sei minuti il 16 luglio. Cinque minuti il 20 luglio. Sono le finestre che il Threat Intelligence Group di Google e Mandiant hanno potuto confermare, durante le quali AOMEI Backupper, un diffuso strumento gratuito di backup per Windows, ha consegnato a chiunque lo chiedesse qualcosa di diverso da un aggiornamento. Il loro rapporto, pubblicato il 16 ottobre, dice che probabilmente ci sono state altre finestre che non hanno visto.
Nessuno ha violato il programma. Backupper scarica due piccoli file di testo dai server di AOMEI: uno indica il pacchetto di aggiornamento e il suo checksum, l'altro dice al servizio di notifica cosa mostrare e cosa eseguire. Il software non verifica la firma di nessuno dei due, e il checksum sta nello stesso file non firmato che dovrebbe verificare. Gli aggressori, tracciati come UNC7017, hanno quindi modificato quei file lato produttore, aspettato qualche minuto e rimesso gli originali. Un PC che ha controllato gli aggiornamenti nel frattempo ha scaricato un loader chiamato CROSSROAD, che ha creato un'attività pianificata eseguita ogni tre ore e poi si è cancellato. L'attività avvia una copia autentica e firmata dello strumento di controllo remoto Radmin, che carica una backdoor chiamata dai ricercatori SHINYROAD. Le vittime sono state trovate in 11 paesi, tra cui Stati Uniti, Spagna, Portogallo e Svizzera.
AOMEI dice di aver messo in sicurezza i server il 29 luglio. Questo ferma le nuove infezioni. Non fa nulla per una macchina colpita a maggio o a luglio, ed è per questo che l'unico consiglio onesto è controllare. Apri l'Utilità di pianificazione e cerca un'attività chiamata RadminComponentRuntime o NitroRuntime; nessuna delle due dovrebbe trovarsi su un PC di casa. Verifica se nei tuoi dati applicazioni locali c'è una cartella Radmin che non hai mai installato. Se trovi una delle due cose, cambia le password da un altro dispositivo e fai ripulire la macchina. L'attuale Backupper, la 8.5.0 del 9 ottobre, non indica ancora alcuna modifica al modo in cui verifica gli aggiornamenti.
Il controllo Sicurezza di Tendvane elenca le attività pianificate e i programmi dietro di esse, proprio dove questa si nasconde; e il suo backup copia Documenti, Immagini e Desktop con semplici strumenti di Windows che non chiamano mai casa per un aggiornamento.