Die Google Threat Intelligence Group (GTIG) berichtet , dass Angreifer im Rahmen einer zwischen April und Juli untersuchten Kampagne die Update- und Benachrichtigungsinfrastruktur von AOMEI Technology kompromittiert haben.
AOMEI Backupper ist eine Backup-Software, die laut Herstellerangaben von über 100 Millionen Menschen weltweit genutzt wird. Sie ermöglicht es Benutzern, Dateien zu sichern, ganze Laufwerke zu kopieren und Daten wiederherzustellen, falls mit ihrem PC etwas schiefgeht.
Die Angreifer veränderten kurzzeitig die Update- und Benachrichtigungsinfrastruktur von AOMEI, um die Software der Kunden zum Herunterladen und Ausführen von Schadsoftware zu veranlassen.
Das gleiche System dient auch AnyViewer-Kunden, aber im Bericht werden bestätigte AnyViewer-Infektionen nicht separat ausgewiesen.
Kurzzeitig änderten die Angreifer die Download-Anweisungen der Software, sodass diese auf ein schädliches ZIP-Archiv verwiesen. Sie änderten außerdem die erwartete Versionsnummer und die MD5-Prüfsumme, damit der Client die Datei akzeptierte. Da dieselbe Remote-Konfigurationsdatei die Download-Adresse und die erwartete Prüfsumme enthielt, konnten die Angreifer sowohl den Download als auch die Informationen, die die Software für die Annahme des Downloads benötigte, verändern.
Die Forscher bestätigten drei Manipulationsfenster von zehn, sechs und fünf Minuten Dauer, es könnten aber auch weitere stattgefunden haben. Diese kurzen Zeitfenster boten zwar weniger Möglichkeiten zur Infektion von Rechnern, erschwerten aber gleichzeitig die Erkennung des Angriffs.
Der Angriff nutzte einen anfänglichen Downloader, um eine persistente Hintertür für den Fernzugriff zu installieren. Die Forscher identifizierten die ausgelieferte Schadsoftware weder als Ransomware noch als Infostealer, doch die Hintertür ermöglicht es Angreifern, Befehle auszuführen und weitere Schadsoftware zu installieren. Das bedeutet, dass ein infizierter PC weiterhin anfällig für Angriffe bleibt.
So prüfen Sie, ob Sie betroffen sind
Wenn Sie AOMEI Backupper im betroffenen Zeitraum verwendet haben, aktualisieren Sie Ihre Sicherheitssoftware und führen Sie einen Scan durch. Sie können Malwarebytes Free herunterladen , um nach Schadsoftware zu suchen und diese zu entfernen.
Malwarebytes 'Die KI-Erkennungsengine identifiziert den ursprünglichen Malware-Downloader.' upgrade-now.exe, als Malware.AI.4006642887 Also ThreatDown Und Malwarebytes Die Kunden wurden durch die Echtzeit-Erkennungskomponente geschützt.
Wenn Sie damit einverstanden sind, überprüfen Windows Einstellungen und Dateien, dies sind zusätzliche Warnsignale:
- Öffnen Sie Windows Aufgabenplaner und überprüfen Sie die Aufgabenplanungsbibliothek für eine Aufgabe namens
RadminComponentRuntime. - Schauen Sie in Ihrem AOMEI Backupper-Installationsordner nach, insbesondere im versionsspezifischen Ordner.
htmlundTmphtmlOrdner, für ein unsigniertesupgrade-now.exeoder ein unerwartetesupgrade-now.zipBeachten Sie, dass sich der Malware-Downloader nach dem Bereitstellen der nächsten Nutzlast und dem Erstellen von Persistenz selbst löscht; seine Abwesenheit bedeutet also nicht, dass der PC sauber ist. - Wenn Sie ausgehenden Datenverkehr sehen nach
promotion.storage-data.com,aomei.storage-data.com,storage-data.com,8.210.84.56,47.239.60.117, oder8.218.65.184, ob blockiert oder erlaubt.
Wenn Sie eines dieser Anzeichen bemerken, holen Sie sich Hilfe, anstatt alles manuell zu bereinigen. Trennen Sie den PC vom Internet, wenn Sie vermuten, dass er aktiv kompromittiert ist, und kontaktieren Sie einen vertrauenswürdigen Computertechniker, Malwarebytes Support oder die IT-/Sicherheitsabteilung Ihres Unternehmens.
Von der Meldung von Bedrohungen bis zu deren Beseitigung.
Cybersicherheitsrisiken sollten niemals über die Schlagzeile hinausgehen. Schützen Sie Ihre Geräte vor Bedrohungen, indem Sie Malwarebytes noch heute herunterladen .
