AOMEI Backupperは、世界中で1億人以上が利用していると同社が発表したバックアップソフトウェアです。このソフトウェアを使用すると、ファイルのバックアップ、ドライブ全体のコピー、PCに問題が発生した場合のデータ復元などが可能です。
攻撃者は、AOMEIのアップデートおよび通知インフラストラクチャを一時的に改変し、顧客のソフトウェアにマルウェアをダウンロードして実行させた。
同じシステムはAnyViewerの顧客にもサービスを提供しているが、この報告書ではAnyViewerの感染確認事例は個別に特定されていない。
攻撃者は短期間、ソフトウェアのダウンロード手順を悪意のあるZIPアーカイブを指すように変更した。また、クライアントがそれを受け入れるように、想定されるバージョン番号とMD5チェックサムも変更した。ダウンロードアドレスと想定されるチェックサムは同じリモート設定ファイルから提供されていたため、攻撃者はダウンロード自体と、ソフトウェアがダウンロードを受け入れるために使用する情報の両方を変更することができた。
研究者らは、10分、6分、5分の3つの改ざん期間を確認したが、実際にはもっと多くの改ざん期間があった可能性もある。これらの短い期間は、マシンを感染させる機会を少なくする一方で、攻撃の発見をより困難にした。
この攻撃では、初期ダウンローダーを使用して永続的なリモートアクセスバックドアをインストールした。研究者らは、配信されたマルウェアをランサムウェアや情報窃盗マルウェアとは特定しなかったが、このバックドアによって攻撃者はコマンドを実行したり、追加のマルウェアをインストールしたりすることが可能になる。つまり、感染したPCはさらなる攻撃に対して脆弱な状態が続く可能性がある。
自分が影響を受けたかどうかを確認する方法
影響を受けた期間中にAOMEI Backupperを使用していた場合は、セキュリティソフトウェアをアップデートし、スキャンを実行してください。マルウェアの検出と駆除には、 Malwarebytes Freeをダウンロードして使用できます。
Malwarebytes 「AI検出エンジンは最初のマルウェアダウンローダーを特定し、 upgrade-now.exe、 として マルウェア.AI.4006642887 それでThreatDown そしてMalwarebytes 顧客はリアルタイム検出機能によって保護された。
確認しても構いませんWindows 設定やファイルに関して、以下の点も警告サインとなります。
- 開く Windows タスクスケジューラ そしてチェック タスクスケジューラライブラリ タスク名
RadminComponentRuntime. - AOMEI Backupperのインストールフォルダ、特にバージョン固有のフォルダを確認してください。
htmlそしてTmphtml署名されていないフォルダーupgrade-now.exeまたは予期せぬupgrade-now.zipマルウェアダウンローダーは、次のペイロードを準備して永続性を確立した後、自身を削除するため、ダウンローダーが存在しないからといってPCがクリーンであるとは限りません。 - 発信トラフィックが
promotion.storage-data.com,aomei.storage-data.com,storage-data.com,8.210.84.56,47.239.60.117あるいは8.218.65.184ブロックされているか許可されているかに関わらず。
これらの兆候のいずれかに遭遇した場合は、手動で全てを駆除しようとするのではなく、専門家の助けを求めてください。PCがマルウェアに感染している疑いがある場合は、インターネット接続を切断し、信頼できるコンピュータ技術者、 Malwarebytesサポート、または組織のIT/セキュリティチームに連絡してください。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
