AOMEI aún no ha notificado a los clientes afectados por el secuestro de sus actualizaciones

AOMEI confirmó que atacantes modificaron repetidamente archivos de configuración en sus servidores de actualización entre abril y julio, redirigiendo durante unos minutos el software hacia descargas de malware. La empresa, registrada en Hong Kong, indicó que todavía no ha identificado ni notificado a los clientes infectados.

ManageEngine detectó la actividad en dos clientes y alertó inicialmente a AOMEI en junio. Según la firma de ciberseguridad, los atacantes volvieron a actuar al menos dos veces después de que AOMEI investigara el incidente y corrigiera algunas vulnerabilidades potenciales, aunque sin determinar entonces la causa raíz.

La compañía afirmó que pudo identificar rastros de la intrusión tras recibir de ManageEngine los momentos concretos de la manipulación y analizar los registros de los servidores y comparar archivos. AOMEI actualizó posteriormente el servidor y asegura que no ha encontrado nuevos archivos maliciosos.

Los atacantes abusaron del canal utilizado por AOMEI para mostrar ventanas promocionales, cuyos archivos de configuración no estaban autenticados. Tras cada periodo de manipulación restauraban los archivos originales, lo que dificultaba las inspecciones posteriores. Durante una ventana del 20 de julio también emplearon una ventana invisible para intentar obtener hashes de contraseñas de Windows y enviarlos a un servidor controlado por los atacantes.

Google Threat Intelligence Group identificó víctimas en los sectores de servicios de TI, telecomunicaciones y educación superior de casi una docena de países. Google y ManageEngine advirtieron de que las correcciones aplicadas en los servidores no limpian los equipos ya comprometidos y recomendaron buscar indicios de intrusión durante todo el periodo comprendido entre abril y julio.

El grupo responsable, rastreado por Google como UNC7017, mantiene desconocidos su origen y motivación. El malware dejaba de ejecutarse si detectaba que el equipo estaba en China, no podía determinar su ubicación o encontraba determinados productos de seguridad. AOMEI ha publicado una herramienta gratuita de detección y recomienda actualizar y analizar los sistemas que utilizaron Backupper durante las ventanas de exposición.

Fuente: The Record.