🥷 Как группировка UNC7017 раздавала 💻бэкдоры через серверы обновлений AOMEI 5-минутны...
🥷 Как группировка UNC7017 раздавала 💻бэкдоры через серверы обновлений AOMEI 5-минутными окнами С апреля по июль 2026 года атакующая группировка UNC7017 провела атаку на цепочку поставок через инфраструктуру обновлений компании AOMEI, о чём сообщил автор CyberInsider Билл Манн со ссылкой на отчёты Google Threat Intelligence Group (GTIG) и Mandiant, а также лаборатории Threat Analysis Lab (METAL) компании ManageEngine. Злоумышленники скомпрометировали каналы доставки Windows-утилиты для резервного копирования AOMEI Backupper и программы для удалённого доступа AnyViewer, включая раздачу вредоносного ПО интервалами от 5 до 10 минут (28 мая, 16 и 20 июля) перед возвратом чистых файлов. Жертвами заражения стали IT-компании, телеком-операторы и вузы в 11 странах, в том числе в 🇺🇸США, 🇦🇺Австралии, 🇮🇳Индии и 🇧🇷Бразилии. Вместо эксплуатации уязвимостей атакующие использовали отсутствие криптографической проверки конфигурационных файлов down_html.ini и Notifycfg.ini, где одновременно меняли ссылку на архив и контрольную сумму MD5. Скрытый среди рекламных материалов неподписанный файл upgrade-now.exe (самоудаляющийся загрузчик CROSSROAD) автоматически запускался через встроенный браузер приложения, скачивал дополнительные компоненты и создавал задачу планировщика для закрепления в системе. Следом через легитимный подписанный компонент Radmin по методу DLL sideloading загружался бэкдор SHINYROAD для доступа к удалённой командной оболочке (remote shell) и подгрузки кода, а 20 июля злоумышленники дополнительно открывали невидимое окно с запросом к внешнему ресурсу WebDAV для перехвата аутентификационных данных Windows NetNTLMv2 без запуска ВПО. После уведомлений от ИБ-исследователей METAL (7 июня) и Mandiant (17 июля) представители AOMEI к 29 июля непублично отчитались о защите серверов, а 👍 20 октября без официального признания взлома выпустили версии AOMEI Backupper 8.5.1 и Partition Assistant 10.12.2 с усиленной проверкой целостности файлов и обновлений. В экспертном сообществе подмечают, что ни серверные исправления, ни патч клиента не удаляют вредоносные программы с уже заражённых хостов, поэтому организациям необходимо проверить конечные точки за период с апреля по июль на наличие сторонних исполняемых файлов в каталогах html, задач планировщика RadminComponentRuntime или NitroRuntime и обращений к C2-серверу 8[.]218[.]65[.]184:41397. Первоначальный вектор проникновения группировки UNC7017 в инфраструктуру вендора и точное общее число пострадавших устройств остаются нераскрытыми. ✋ @Russian_OSINT