Ваша програма резервного копіювання перевірила оновлення. Десять хвилин відповіддю був бекдор
Десять хвилин 28 травня. Шість хвилин 16 липня. П'ять хвилин 20 липня. Це вікна, які Threat Intelligence Group від Google і Mandiant змогли підтвердити, коли AOMEI Backupper, популярний безплатний інструмент резервного копіювання для Windows, видавав кожному, хто запитував, щось інше замість оновлення. Їхній звіт, опублікований 16 жовтня, каже, що вікон, імовірно, було більше, просто їх не побачили.
Ніхто не зламував програму. Backupper завантажує з серверів AOMEI два маленькі текстові файли: один вказує пакет оновлення та його контрольну суму, другий каже службі сповіщень, що показувати і що запускати. Програма не перевіряє підпис жодного з них, а контрольна сума лежить у тому самому непідписаному файлі, який вона має перевіряти. Тож зловмисники, відомі як UNC7017, змінили ці файли на боці виробника, почекали кілька хвилин і повернули оригінали. ПК, який у цей час перевірив оновлення, завантажив завантажувач CROSSROAD, що створив заплановане завдання з запуском кожні три години, а потім видалив сам себе. Завдання запускає справжню, підписану копію інструмента віддаленого керування Radmin, яка підвантажує бекдор, названий дослідниками SHINYROAD. Жертв знайдено в 11 країнах, зокрема у США, Іспанії, Португалії та Швейцарії.
AOMEI каже, що захистила сервери 29 липня. Це зупиняє нові зараження. Це нічого не дає машині, яку зачепило у травні чи липні, і тому єдина чесна порада - подивитися. Відкрийте Планувальник завдань і пошукайте завдання з назвою RadminComponentRuntime або NitroRuntime; жодному з них не місце на домашньому ПК. Перевірте, чи немає в локальних даних застосунків теки Radmin, яку ви ніколи не встановлювали. Якщо знайдете щось із цього, змініть паролі з іншого пристрою і віддайте машину на чищення. Поточна версія Backupper 8.5.0 від 9 жовтня досі не згадує жодних змін у перевірці оновлень.
Перевірка безпеки Tendvane показує заплановані завдання і програми за ними, тобто саме те місце, де ховається цей; а її власне резервне копіювання копіює Документи, Зображення і Робочий стіл простими засобами Windows, які ніколи не звертаються додому по оновлення.