Kaj se je zgodilo
Po navedbah Google Threat Intelligence Group (GTIG) so napadalci med aprilom in julijem kompromitirali infrastrukturo za posodobitve in obveščanje podjetja AOMEI Technology. AOMEI Backupper je programska oprema za varnostno kopiranje, ki jo po navedbah proizvajalca uporablja več kot 100 milijonov ljudi po svetu, saj omogoča varnostno kopiranje datotek, kopiranje celotnih diskov in obnovitev podatkov ob okvari sistema.
Napadalci so za kratka časovna okna spremenili navodila za prenos posodobitve, tako da so te kazale na zlonamerno ZIP arhivsko datoteko. Hkrati so spremenili tudi pričakovano številko različice in MD5 nadzorno vsoto, da je odjemalec zlonamerni prenos sprejel kot veljavnega. Ker ista oddaljena konfiguracijska datoteka določa tako naslov za prenos kot pričakovano nadzorno vsoto, so napadalci lahko spremenili oba podatka hkrati.
Raziskovalci so po navedbah The Hacker News potrdili tri okna prirejanja, ki so trajala deset, šest in pet minut, med majem in julijem 2026. Opozarjajo, da je morda prišlo do več takih dogodkov, ki še niso bili odkriti. V preiskavo so bili po navedbah vira vključeni tudi Mandiant in ManageEngine Threat Analysis. Ista infrastruktura streže tudi uporabnikom programa AnyViewer, vendar poročilo ne navaja potrjenih okužb pri teh uporabnikih.
Kaj to pomeni za slovenska in evropska podjetja
Gre za napad na dobavno verigo programske opreme, pri katerem je bila zaupanja vredna posodobitvena pot zlorabljena za dostavo zlonamerne kode. Podjetja, ki uporabljajo AOMEI Backupper za varnostno kopiranje kritičnih podatkov, so lahko izpostavljena, če je njihov sistem preverjal posodobitve v enem od omenjenih časovnih oken. Ker je bilo potrjenih vsaj več takih oken v obdobju treh mesecev, je priporočljivo preveriti stanje naprav, na katerih je nameščena ta programska oprema, tudi če do zdaj ni bilo opaznih težav.
Priporočeni ukrepi
- Preverite, ali je bila na vaših sistemih z AOMEI Backupperjem izvedena posodobitev med majem in julijem 2026, in po potrebi sistem pregledate glede sumljivih datotek ali procesov.
- Primerjajte nameščeno različico in njen MD5 podpis z uradnimi vrednostmi proizvajalca.
- Spremljajte morebitna varnostna obvestila AOMEI Technology glede te kampanje.
- Če uporabljate tudi AnyViewer, ki si deli isto posodobitveno infrastrukturo, bodite pozorni, čeprav potrjenih okužb pri tej aplikaciji poročilo ne navaja.
Vprašanja in odgovori
Je bila ranljivost aktivno izkoriščana? Po navedbah GTIG so napadalci dejansko spremenili posodobitveno infrastrukturo in za kratka časovna okna dostavljali zlonamerno kodo prek legitimnega mehanizma posodobitev.
Koliko časa je trajala izpostavljenost? Raziskovalci so potrdili tri okna prirejanja v trajanju deset, šest in pet minut, vendar opozarjajo, da jih je morda bilo več.
Ali so prizadeti tudi uporabniki AnyViewer? Ista infrastruktura streže tudi tej aplikaciji, vendar poročilo ne navaja potrjenih okužb pri njenih uporabnikih.
Pogosta vprašanja
Kaj je bilo tarča napada?
Napadalci so kompromitirali infrastrukturo za posodobitve in obveščanje podjetja AOMEI Technology, ki streže programski opremi AOMEI Backupper in AnyViewer.
Kako dolgo so trajala okna prirejanja?
Raziskovalci so potrdili tri okna v trajanju deset, šest in pet minut med majem in julijem 2026, vendar jih je morda bilo več.
Kaj naj naredijo uporabniki AOMEI Backupperja?
Preverite nameščeno različico in njen MD5 podpis glede na uradne vrednosti proizvajalca ter preglejte sistem za morebitne sledi zlonamerne kode, če je posodobitev potekala v spornem obdobju.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Ranljivost IsSafeURL v knjižnici gomarkdown/markdown povzroča zrušitev aplikacije