Программы для резервного копирования и удалённого доступа могут стать каналом заражения, даже если сами приложения не содержат уязвимостей. С апреля по июль 2026 года злоумышленники атаковали инфраструктуру обновлений AOMEI Technology, подменяя настройки загрузки вредоносного ПО всего на пять–десять минут, а затем возвращая оригинальные файлы. Об этом сообщили Google Threat Intelligence Group и Mandiant.
Атака затронула механизм обновления AOMEI Backupper и службу уведомлений, которые периодически загружают настройки с серверов компании. Злоумышленники меняли адрес загрузки архива и параметры проверки версии, направляя часть пользователей на подконтрольные ресурсы. Дополнительно они изменяли конфигурацию уведомлений, чтобы программа автоматически запускала загруженный вредоносный файл без действий со стороны пользователя.
Первым этапом заражения становился загрузчик CROSSROAD. Он проверял параметры системы, скачивал дополнительные компоненты и создавал задачу Windows, обеспечивающую повторный запуск вредоносного ПО. Следом устанавливался SHINYROAD — скрытый инструмент удалённого управления, позволявший выполнять команды на заражённом компьютере. Позже злоумышленники также использовали компоненты Adaptix, маскируя их под утилиты Nitro PDF.
В одной из волн атаки, 20 июля, преступники задействовали ещё один механизм: невидимое окно размером один пиксель заставляло компьютер обращаться к внешнему WebDAV-ресурсу. Это могло привести к передаче сетевых учётных данных в виде NTLMv2-хешей. При этом первоначальная загрузка вредоносного архива шла через Google Cloud Storage, что затрудняло блокировку по признакам недавно зарегистрированных доменов.
Активность обнаружили благодаря телеметрии ManageEngine Threat Analysis Lab в нескольких клиентских средах. По данным Google и Mandiant, потенциально затронутые организации находились в разных странах и представляли сферы ИТ-услуг, телекоммуникаций и высшего образования. AOMEI сообщила об устранении проблем на серверах распространения обновлений, однако это не очищает компьютеры, заражённые ранее.
Организациям, использующим продукты AOMEI, рекомендуется проверить системы за период с апреля по июль 2026 года, изучить журналы сетевых соединений и найти подозрительные файлы и задачи, связанные с Radmin и Nitro PDF. Проверять только текущие серверные настройки недостаточно: злоумышленники быстро возвращали оригинальные конфигурации. Для снижения риска также следует контролировать процессы, запускаемые обновляющими программами, и блокировать подозрительные сетевые соединения.