Twój program do kopii zapasowych sprawdził aktualizacje. Przez dziesięć minut odpowiedzią był backdoor

Dziesięć minut 28 maja. Sześć minut 16 lipca. Pięć minut 20 lipca. To okna, które Threat Intelligence Group Google i Mandiant zdołały potwierdzić, w których AOMEI Backupper, popularne darmowe narzędzie do kopii zapasowych dla Windows, serwował każdemu pytającemu coś innego niż aktualizację. Ich raport, opublikowany 16 października, mówi, że okien było prawdopodobnie więcej, tylko ich nie zaobserwowano.

Nikt nie złamał programu. Backupper pobiera z serwerów AOMEI dwa małe pliki tekstowe: jeden wskazuje pakiet aktualizacji i jego sumę kontrolną, drugi mówi usłudze powiadomień, co wyświetlić i co uruchomić. Oprogramowanie nie sprawdza podpisu żadnego z nich, a suma kontrolna siedzi w tym samym niepodpisanym pliku, który ma weryfikować. Napastnicy, śledzeni jako UNC7017, zmienili więc te pliki po stronie producenta, odczekali kilka minut i przywrócili oryginały. Komputer, który w tym czasie sprawdził aktualizacje, pobrał loader o nazwie CROSSROAD, który założył zaplanowane zadanie uruchamiane co trzy godziny, a potem sam się usunął. Zadanie uruchamia autentyczną, podpisaną kopię narzędzia zdalnej kontroli Radmin, która ładuje backdoora nazwanego przez badaczy SHINYROAD. Ofiary znaleziono w 11 krajach, w tym w Stanach Zjednoczonych, Hiszpanii, Portugalii i Szwajcarii.

AOMEI twierdzi, że zabezpieczyło serwery 29 lipca. To zatrzymuje nowe infekcje. Nic nie daje maszynie złapanej w maju czy lipcu, dlatego jedyna uczciwa rada to sprawdzić. Otwórz Harmonogram zadań i poszukaj zadania o nazwie RadminComponentRuntime lub NitroRuntime; żadne z nich nie ma racji bytu na domowym komputerze. Sprawdź, czy w lokalnych danych aplikacji jest folder Radmin, którego nigdy nie instalowałeś. Jeśli znajdziesz którekolwiek, zmień hasła z innego urządzenia i oddaj maszynę do wyczyszczenia. Obecny Backupper, 8.5.0 z 9 października, wciąż nie wymienia żadnej zmiany w sposobie weryfikacji aktualizacji.

Kontrola bezpieczeństwa Tendvane wypisuje zaplanowane zadania i stojące za nimi programy, czyli dokładnie to miejsce, gdzie ten się chowa; a jej własna kopia zapasowa kopiuje Dokumenty, Obrazy i Pulpit zwykłymi narzędziami Windows, które nigdy nie dzwonią do domu po aktualizację.