هکرها سرورهای به روز رسانی AOMEI را ربودند تا مخفیانه بدافزار را منتشر کنند

گزارش شده است که هکرها سرورهای AOMEI را به خطر انداختند تا بدافزار را از طریق یک ویژگی تبلیغاتی داخلی در نرم‌افزار پشتیبان‌گیری آن توزیع کنند و به طور خلاصه فایل‌های پیکربندی را قبل از بازگرداندن آنها به حالت اولیه برای پنهان کردن حملات، دستکاری کردند.

حملات زنجیره تامین بین آوریل و جولای 2026 انجام شد و سیستم های به روز رسانی و اطلاع رسانی مورد استفاده توسط AOMEI Backupper، یک برنامه کاربردی ویندوز برای پشتیبان گیری از داده ها، شبیه سازی دیسک ها و بازیابی سیستم ها را هدف قرار دادند.

محققان آزمایشگاه تحلیل تهدید ManageEngine (METAL) که با گروه اطلاعاتی تهدیدات گوگل (GTIG) و Mandiant همکاری می کنند، این کمپین را کشف کردند و حملات را بررسی کردند.

در گزارش‌های منتشر شده توسط Google و ManageEngine، این فعالیت به یک عامل تهدید با نام UNC7017 نسبت داده می‌شود که از زیرساخت آسیب‌دیده برای توزیع یک دانلودکننده بدافزار ناشناخته قبلی به نام CROSSROAD و یک درب پشتی به نام SHINYROAD استفاده کرد.

محققان سازمان‌های آسیب‌دیده را در چندین کشور از جمله ایالات متحده، استرالیا، هند، سنگاپور، اسپانیا و سوئیس در بخش‌هایی مانند خدمات فناوری اطلاعات، مخابرات و آموزش عالی شناسایی کردند.

با این حال، گوگل هشدار داد که این حملات فرصت‌طلبانه بوده و می‌تواند سازمان‌های دیگری را تحت تأثیر قرار دهد که در دوره‌های کوتاهی که فایل‌های مخرب توزیع می‌شوند، به‌روزرسانی‌های نرم‌افزار را بررسی می‌کنند.

این حملات برای اولین بار در 28 می شناسایی شد، زمانی که ManageEngine گفت که نرم افزار امنیتی نقطه پایانی آن AOMEI Backupper را در حال نصب ناگهانی ابزار مدیریت راه دور قانونی Radmin بر روی رایانه های دو شرکت غیر مرتبط در کشورهای مختلف مشاهده کرد.

نصب Radmin مشکوک بود زیرا فرآیندهای ارتقای داخلی AOMEI آن را راه اندازی کرد، که معمولا دانلود و نمایش محتوای تبلیغاتی و اعلان ها را انجام می دهد.

با این حال، زمانی که محققان تلاش کردند این رفتار را در سیستم های آزمایشی خود بازتولید کنند، هیچ چیز مخربی پیدا نکردند. در عوض، نرم افزار با سرورهای AOMEI تماس گرفت و فایل پیکربندی قانونی را دانلود کرد.

آزمایش‌های بیشتر نشان داد که مهاجمان به‌جای جایگزینی دائمی فایل‌ها در سرورهای AOMEI، دو فایل پیکربندی مورد استفاده توسط سیستم‌های تبلیغاتی و اطلاع‌رسانی را به طور خلاصه تغییر دادند:

اولین فایل، down_html.ini، به AOMEI Backupper می‌گوید که بسته‌های به‌روزرسانی را از کجا دانلود کند. دومی، Notifycfg.ini، اعلان‌ها را کنترل می‌کند و می‌تواند محتوا را برای اجرا در رایانه فعال کند.

با اصلاح این فایل‌ها، مهاجمان نرم‌افزار را برای دانلود یک آرشیو ZIP مخرب هدایت کردند و سپس از مکانیسم اعلان برای اجرای بدافزار بدون نیاز به تعامل کاربر استفاده کردند.

محققان گوگل بعدا این جریان اعدام را در آزمایشات خود تأیید کردند.

پس از شکست در بازتولید حمله اصلی، ManageEngine شروع به نظارت مداوم بر سرورهای AOMEI کرد.

در 16 ژوئیه، این نظارت سرانجام تغییرات مخرب را در همان حال ثبت کرد و تأیید کرد که سیستم‌های AOMEI محتوای مخرب را ارائه می‌کنند.

محققان همچنین دریافتند که مهاجمان چک جمع مورد انتظار را در پیکربندی به‌روزرسانی تغییر داده‌اند و به آرشیو مخرب اجازه می‌دهد تا بررسی‌های تأیید فایل نرم‌افزار را انجام دهد.

گوگل و ManageEngine می گویند سه پنجره را شناسایی کرده اند که فایل پیکربندی مخرب توسط سرورهای Aomei ارسال شده است:

28 مه: 10 دقیقه پنجره نوردهی (05:40 - 05:50 UTC)

16 ژوئیه: پنجره نوردهی 6 دقیقه ای (08:33 - 08:39 UTC)

20 ژوئیه: پنجره نوردهی 5 دقیقه ای (10:35 - 10:40 UTC)

مهاجمان فایل‌های پیکربندی را در عرض چند دقیقه به شکل اصلی خود بازگرداندند، که تشخیص این سازش را دشوار می‌کرد.

در طول این ویندوز، از فایل پیکربندی مخرب برای نصب بدافزار CROSSROAD و SHINYROAD استفاده شد.

وقتی راه‌اندازی شد، دانلودکننده CROSSROAD شناسایی انجام‌شده را روی رایانه آلوده بررسی کرد، اجزای اضافی را دانلود کرد و از طریق یک کار برنامه‌ریزی شده پایداری را ثابت کرد.

SHINYROAD یک درب پشتی است که از مؤلفه های Radmin قانونی برای بارگیری کدهای مخرب و ایجاد یک اتصال خروجی به یک سرور فرمان و کنترل تحت کنترل مهاجم استفاده می کند.

این به مهاجمان این امکان را می‌دهد تا دستورات و بارهای اضافی را بر روی رایانه‌های در معرض خطر اجرا کنند.

در طول حمله 20 جولای، گوگل همچنین تکنیک دومی را مشاهده کرد که سعی در سرقت هش های احراز هویت ویندوز با مجبور کردن سیستم اعلان نرم افزار برای دسترسی به یک منبع WebDAV کنترل شده توسط مهاجم از طریق یک پنجره بازشو نامرئی داشت.

این تکنیک می‌تواند هش‌های NTLM را که توسط سرور کنترل‌شده توسط مهاجم جمع‌آوری می‌شوند و بعدا با استفاده از ابزارهای مختلف کرک می‌شوند، افشا کند.

محققان همچنین چندین آدرس IP و نام میزبان مورد استفاده در طول حملات را شناسایی کردند، از جمله 8.210.84[.]56، serv.oss-cn-hongkong[.]aliyuncs.com، نام میزبان تحت storage-data[.]com، و storage.googleapis.com، یک نقطه پایانی قانونی Google Cloud Stor.

ManageEngine به BleepingComputer گفت که برای اولین بار AOMEI را در مورد فعالیت مشکوک در 7 ژوئن، بیش از یک ماه قبل از اینکه محققان مستقیما فایل‌های پیکربندی مخربی را که از سرورهای آن ارائه می‌شد، ضبط کنند، اطلاع داد.

در آن زمان، AOMEI در ابتدا پیشنهاد کرد که ممکن است محتوا در حین انتقال رهگیری و اصلاح شده باشد، توضیحی که محققان با آن مخالف بودند.

در گزارش ManageEngine آمده است: «شواهد از توضیح AOMEI در مورد رهگیری در حمل و نقل پشتیبانی نمی‌کند.

"هر دو نقطه پایانی محتوا را از طریق HTTPS از نام‌های میزبان متعلق به AOMEI، در کشورهای مختلف و مسیرهای شبکه نامرتبط بازیابی کرده بودند، و فایل اجرایی به‌جای اینکه مستقیما توسط یک فرآیند خارجی روی دیسک نوشته شود، از طریق دنباله استخراج خود برنامه وارد شده بود. محتوا قبل از رسیدن به هر دو نقطه پایانی، در مسیر تحویل میزبانی فروشنده، تغییر داده شده بود."

هنگامی که ManageEngine حمله دیگری را در 16 جولای دستگیر کرد، بلافاصله هش های فایل اصلی و اصلاح شده، تفاوت فایل ها و فایل های تغییر یافته را در اختیار AOMEI قرار داد.

ManageEngine به BleepingComputer گفت: "AOMEI درگیر شد، بررسی خود را انجام داد و به ما گفت که بررسی اولیه آن شواهدی مبنی بر نقض پیدا نکرده است."

محققان گفتند AOMEI نشان داد که قصد دارد فایل‌های پیکربندی آسیب‌دیده را به زیرساخت‌های جدید با گزارش دقیق‌تر منتقل کند.

ManageEngine به BleepingComputer گفت که به AOMEI توصیه کرده است قبل از انجام این تغییرات، شواهد موجود را حفظ کند و متخصصان واکنش به حادثه را وارد کند و شرکت را با Mandiant مرتبط کند تا در تحقیقات کمک کند.

AOMEI بعدا به محققان اطلاع داد که تیم فنی آن سرورهایش را ارتقا داده، آسیب‌پذیری‌های احتمالی را اصلاح کرده و تأیید کرده است که فایل‌های میزبانی شده در زیرساخت آن درست هستند.

گوگل همچنین در گزارش خود تأیید کرد که Mandiant در تاریخ 17 جولای AOMEI را در مورد دستکاری فایل پیکربندی اطلاع داده است و این شرکت در 29 جولای پاسخ داده و اعلام کرده است که اقدامات اصلاحی انجام داده است.

هنگامی که BleepingComputer درباره یافته‌ها با آن تماس گرفت، AOMEI گفت که این موضوع را به عنوان یک اولویت بالا در نظر می‌گیرد و افسر ارشد فناوری آن در حال انجام تحقیقات داخلی است.

AOMEI به BleepingComputer گفت: "ما همچنین به صورت داخلی این گزارش را شناسایی کرده‌ایم و آن را به عنوان یک موضوع با اولویت بالا طبقه‌بندی کرده‌ایم. CTO ما در حال حاضر تحقیقات اختصاصی را برای اطمینان از شناسایی دقیق موضوع انجام می‌دهد."

این شرکت گفت CTO آن پاسخ دقیق تری در مورد این حادثه و پیشرفت تحقیقات ارائه خواهد کرد و BleepingComputer در صورت دریافت اطلاعات جدید این مقاله را به روز خواهد کرد.

AOMEI فورا تأیید نکرد که چگونه مهاجمان به زیرساخت به‌روزرسانی آن دسترسی پیدا کرده‌اند یا اینکه مشکل گزارش شده به طور کامل برطرف شده است.

در حالی که AOMEI می‌گوید سرورهای خود را ایمن کرده است، ManageEngine هشدار می‌دهد که این تغییرات بدافزارهایی را که قبلا روی رایانه‌های مشتریان نصب شده‌اند حذف نمی‌کنند.

ManageEngine به BleepingComputer گفت: «تصحیح سمت سرور عفونت‌های جدید را متوقف می‌کند؛ درب پشتی دستگاه‌هایی که آن را در پنجره قبلی دریافت کرده‌اند، حذف نمی‌کند».

به سازمان‌هایی که از AOMEI Backupper استفاده می‌کنند، توصیه می‌شود شاخص‌های به خطر افتادن منتشر شده توسط Google و ManageEngine، از جمله وظایف مشکوک زمان‌بندی شده، فایل‌های اجرایی غیرمنتظره در فهرست‌های نصب AOMEI و اتصالات به زیرساخت‌های کنترل‌شده توسط مهاجم را بررسی کنند.

نمرات کلی پیشگیری می تواند آنچه را که پس از دسترسی اولیه اتفاق می افتد پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

تبلیغات هدفمند، جاسوس افزار Candiru را در حملات صفر کلیک نصب کردند

لجر از فروشندگان در سراسر آسیا می خواهد پس از حمله زنجیره تامین، فروش را متوقف کنند

بدافزار اندروید Hirudo جایگزین برنامه های بانکی برای فرار از بررسی های امنیتی می شود

لجر کاشت تراشه جاسوسی در پشت سرقت های رمزنگاری کیف پول را تأیید می کند

هکرها از تبلیغات گوگل سوء استفاده می کنند، بینگ برای فشار دادن به حملات Claude ClickFix تغییر مسیر می دهد