Programul tău de backup a căutat o actualizare. Timp de zece minute, răspunsul a fost un backdoor

Zece minute pe 28 mai. Șase minute pe 16 iulie. Cinci minute pe 20 iulie. Acestea sunt ferestrele pe care Threat Intelligence Group de la Google și Mandiant le-au putut confirma, în care AOMEI Backupper, un instrument gratuit de backup popular pe Windows, a livrat oricui cerea altceva decât o actualizare. Raportul lor, publicat pe 16 octombrie, spune că au existat probabil mai multe ferestre pe care nu le-au văzut.

Nimeni nu a spart programul. Backupper descarcă două fișiere text mici de pe serverele AOMEI: unul numește pachetul de actualizare și suma sa de control, celălalt spune serviciului de notificări ce să afișeze și ce să ruleze. Programul nu verifică semnătura niciunuia, iar suma de control stă în același fișier nesemnat pe care ar trebui să îl verifice. Așa că atacatorii, urmăriți ca UNC7017, au editat acele fișiere pe partea producătorului, au așteptat câteva minute și au pus originalele la loc. Un PC care a verificat actualizările între timp a descărcat un încărcător numit CROSSROAD, care a creat o sarcină programată rulată la fiecare trei ore și apoi s-a șters singur. Sarcina pornește o copie autentică, semnată, a instrumentului de control la distanță Radmin, care încarcă un backdoor pe care cercetătorii îl numesc SHINYROAD. Victime au fost găsite în 11 țări, inclusiv Statele Unite, Spania, Portugalia și Elveția.

AOMEI spune că și-a securizat serverele pe 29 iulie. Asta oprește infecțiile noi. Nu face nimic pentru o mașină prinsă în mai sau iulie, și de aceea singurul sfat onest este să te uiți. Deschide Planificatorul de activități și caută o sarcină numită RadminComponentRuntime sau NitroRuntime; niciuna nu are ce căuta pe un PC de acasă. Verifică dacă în datele locale ale aplicațiilor există un folder Radmin pe care nu l-ai instalat niciodată. Dacă găsești oricare dintre ele, schimbă-ți parolele de pe alt dispozitiv și dă mașina la curățat. Backupper-ul actual, 8.5.0 din 9 octombrie, tot nu menționează nicio schimbare a modului în care verifică actualizările.

Verificarea de Securitate a lui Tendvane listează sarcinile programate și programele din spatele lor, exact locul unde se ascunde aceasta; iar propriul său backup copiază Documentele, Imaginile și Desktopul cu instrumente simple ale Windows, care nu sună niciodată acasă după o actualizare.