O seu programa de cópias de segurança procurou uma atualização. Durante dez minutos, a resposta foi uma porta das traseiras
Dez minutos a 28 de maio. Seis minutos a 16 de julho. Cinco minutos a 20 de julho. São as janelas que o Threat Intelligence Group da Google e a Mandiant conseguiram confirmar, nas quais o AOMEI Backupper, uma popular ferramenta gratuita de cópias de segurança para Windows, entregou a quem pedisse algo diferente de uma atualização. O relatório, publicado a 16 de outubro, diz que provavelmente houve mais janelas que não viram.
Ninguém quebrou o programa. O Backupper vai buscar dois pequenos ficheiros de texto aos servidores da AOMEI: um indica o pacote de atualização e a sua soma de verificação, o outro diz ao serviço de notificações o que mostrar e o que executar. O software não verifica a assinatura de nenhum deles, e a soma de verificação está dentro do mesmo ficheiro não assinado que devia verificar. Os atacantes, identificados como UNC7017, editaram então esses ficheiros do lado do fabricante, esperaram uns minutos e repuseram os originais. Um PC que verificou atualizações pelo meio descarregou um carregador chamado CROSSROAD, que criou uma tarefa agendada a correr de três em três horas e depois apagou-se a si próprio. A tarefa arranca uma cópia genuína e assinada da ferramenta de controlo remoto Radmin, que carrega uma porta das traseiras a que os investigadores chamam SHINYROAD. Foram encontradas vítimas em 11 países, incluindo Estados Unidos, Espanha, Portugal e Suíça.
A AOMEI diz ter protegido os servidores a 29 de julho. Isso trava novas infeções. Não faz nada por uma máquina apanhada em maio ou julho, e é por isso que o único conselho honesto é ir ver. Abra o Agendador de tarefas e procure uma tarefa chamada RadminComponentRuntime ou NitroRuntime; nenhuma delas tem lugar num PC doméstico. Verifique se existe uma pasta Radmin nos seus dados de aplicação locais que nunca instalou. Se encontrar qualquer uma, mude as palavras-passe a partir de outro dispositivo e mande limpar a máquina. O Backupper atual, 8.5.0 de 9 de outubro, continua sem indicar qualquer alteração à forma como verifica as atualizações.
A verificação de Segurança do Tendvane lista as tarefas agendadas e os programas por trás delas, exatamente onde esta se esconde; e a sua própria cópia de segurança copia Documentos, Imagens e Ambiente de trabalho com ferramentas simples do Windows que nunca telefonam para casa por causa de uma atualização.