Aanvallers hebben de update-servers van AOMEI Backupper meerdere keren misbruikt om gebruikers met malware te infecteren, zo melden Google en ManageEngine. Backupper is een oplossing van AOMEI voor het maken van back-ups, disk cloning en disaster recovery. Onderzoekers ontdekten dat de update-server werd gebruikt voor een supplychain-aanval op gebruikers van de back-upsoftware.

Wat de aanval volgens Google opvallend maakt is dat de besmette 'update' slechts korte tijd aan gebruikers werd aangeboden, van vijf tot tien minuten per keer. Daarna kregen systemen die verbinding met de update-server maakten weer de normale update. Alle systemen die in het venster dat de aanval actief was verbinding maakten met de update-server ontvingen op deze manier malware. Volgens Google vonden de aanvallen in ieder geval plaats op 28 mei, 16 juli en 20 juli, maar de onderzoekers sluiten niet uit dat er ook andere momenten zijn geweest.

Onderzoek werd ook bemoeilijkt omdat de gebruikte dropper-malware die via de 'update' werd geïnstalleerd zichzelf verwijderde. Twee klanten van ManageEngine werden door de aanval op 28 mei getroffen. Eén van deze niet nader genoemde organisaties nam op 7 juni contact op met ManageEngine. Op dat moment was de dropper-malware al van het getroffen systeem verdwenen. De EDR-software van ManageEngine had de activiteit van de malafide update wel opgeslagen, alsmede de telemetrie, waardoor er toch informatie beschikbaar was.

Dezelfde dag nam ManageEngine contact op met AOMEI. Het softwarebedrijf stelde in eerste instantie dat aanvallers de data onderweg hadden aangepast. Onderzoek van ManageEngine wees echter uit dat de bestanden al waren aangepast toen die bij AOMEI vandaan kwamen. Door het ontbreken van de daadwerkelijke bestanden konden de onderzoekers niet aantonen dat de infrastructuur van AOMEI de malware verspreidde.

ManageEngine besloot daarop specifieke url's van AOMEI te monitoren, wat uiteindelijk op 16 juli het gezochte bewijs opleverde. De aanvallers wijzigden gedurende een periode van slechts zes minuten de configuratiebestanden waardoor clients die verbinding met de update-server maakten malware kregen aangeboden. Het bleek om een backdoor te gaan.

Op 20 juli ontdekten onderzoekers van Google een nieuwe aanval. Dit keer werd er via de malafide update een html-bestand op de systemen van slachtoffers geladen, die vervolgens via SMB of WebDAV verbinding maakten met de server van de aanvallers. Die ontvingen zo de NetNTLMv2 hash van systeem, die vervolgens kan worden gekraakt of voor relay-aanvallen is te gebruiken. Na te zijn ingelicht liet AOMEI weten dat het corrigerende maatregelen heeft genomen. Hoe de aanvallers de configuratiebestanden konden aanpassen is niet bekendgemaakt.

Google stelt op basis van verzamelde telemetrie dat slachtoffers van de aanval zich in allerlei sectoren bevinden, zoals it-dienstverlening, telecommunicatie, onderwijs en gerelateerde entiteiten, in Australië, Brazilië, India, Pakistan, Portugal, Singapore, Zuid-Afrika, Spanje, Zwitserland, Turkije en de Verenigde Staten. De onderzoekers voegen toe vermoedelijk meer organisaties zijn getroffen dan zij hebben kunnen waarnemen.