Хакеры взломали серверы обновлений AOMEI для скрытого распространения малвари

Исследователи в области кибербезопасности сообщили о компрометации серверов компании AOMEI, известной своим программным обеспечением для резервного копирования и управления дисками. Злоумышленники использовали взломанную инфраструктуру для доставки вредоносного ПО через встроенную в продукты AOMEI рекламную функцию. Инцидент демонстрирует, насколько опасной может быть цепочка поставок, когда доверенное обновление или встроенный модуль приложения превращается в канал распространения малвари.

Подробности

По данным BleepingComputer, атакующие получили контроль над серверами AOMEI и модифицировали конфигурационные файлы, отвечающие за работу встроенной рекламной функции в ПО для резервного копирования. Через этот легитимный механизм пользователям доставлялось вредоносное ПО. После реализации атаки злоумышленники восстановили конфигурационные файлы в исходное состояние — этот шаг был предпринят, чтобы скрыть следы вмешательства и затруднить обнаружение компрометации. Подобная тактика делает атаку особенно коварной: поскольку изменения затрагивали лишь временное окно и впоследствии были откачены, стандартные проверки целостности и мониторинг могли не зафиксировать аномалию. Точный перечень затронутых продуктов и версий, а также наличие идентификаторов CVE в исходном сообщении не уточняются.

Что делать

- Пользователям продуктов AOMEI рекомендуется проверить системы на признаки компрометации, особенно если в период инцидента выполнялись обновления или отображались рекламные материалы внутри приложения. - Стоит провести сканирование антивирусными средствами и EDR-решениями, а также проанализировать журналы сетевой активности на предмет подозрительных подключений. - Организациям следует усилить контроль цепочки поставок ПО: проверять источники обновлений, ограничивать сетевой доступ приложений и отслеживать нехарактерное поведение встроенных модулей. - Целесообразно следить за официальными заявлениями AOMEI и рекомендациями вендора по устранению последствий инцидента. Инцидент подчёркивает, что даже встроенные рекламные и вспомогательные функции приложений могут стать вектором атаки, а временное изменение конфигураций способно долго оставаться незамеченным. Пользователям и ИБ-специалистам важно относиться к обновлениям и встроенным модулям ПО как к потенциальной зоне риска цепочки поставок.

Источник: BleepingComputer