Google и Mandiant связали атаку через Backupper с группой UNC7017

Приложение запускало полученный файл без дополнительных действий пользователя. Это стало возможным из-за изменения содержимого, которое программа получала с серверов компании.

ManageEngine впервые зафиксировала подозрительную цепочку 28 мая 2026 года. На компьютерах двух не связанных друг с другом организаций в разных странах Backupper запустил установку Radmin, программы удалённого администрирования. Источником запуска оказался механизм, который обычно загружает и показывает рекламные материалы внутри приложения. Позднее исследователи связали эпизоды с группой, которую Google Threat Intelligence Group и Mandiant отслеживают под обозначением UNC7017.

Атакующие подменяли два удалённых конфигурационных файла. Первый задавал адрес архива для загрузки и его контрольную сумму MD5, второй управлял показом уведомления. Клиент не проверял подлинность этих файлов криптографически, а контрольная сумма находилась там же, где адрес архива. Поэтому изменение обоих значений позволяло подменённому архиву пройти проверку приложения. Уязвимость в коде Backupper для этой цепочки не требовалась.

В перехваченном архиве исследователи нашли 232 файла с материалами для окна обновления. Среди них были страница upgrade-now.html и неподписанная программа upgrade-now.exe. Когда приложение открывало страницу как локальный файл, её скрипт автоматически создавал ссылку на соседний исполняемый файл и переходил по ней. Встроенное окно передавало запуск Windows. Достаточно было, чтобы Backupper работал.

Как злоумышленники подменяли файлы AOMEI Backupper

Когда исследователи попытались повторить запуск в тестовой среде, серверы отдавали обычные файлы. К тому времени программа, замеченная на компьютерах клиентов, уже удалила себя, а поиск по её хешу не дал результата. Данные защиты конечных устройств сохранили дерево процессов: архив прошёл через штатную папку временных файлов Backupper, после чего исполняемый файл запустился из каталога для отображаемых материалов.

7 июня ManageEngine уведомила AOMEI. Компания сначала предположила, что содержимое изменили при передаче, но наблюдения исследователей указывали на подмену в канале доставки AOMEI: оба компьютера получили файлы по HTTPS с адресов компании. Чтобы зафиксировать изменение непосредственно на сервере, исследователи начали регулярно запрашивать конфигурацию и архив, сохраняя различия между ответами.

16 июля мониторинг зафиксировал изменённый архив с вредоносным файлом. Через несколько минут сервер снова выдавал обычное содержимое. 20 июля Google Threat Intelligence Group и Mandiant наблюдали повторение схемы. По данным CyberInsider, окна подмены 28 мая, 16 июля и 20 июля длились соответственно десять, шесть и пять минут. Проверка адреса после такого окна уже не показывала, что получило приложение во время атаки.

Загрузчик CROSSROAD проверял местоположение компьютера и наличие определённых защитных программ, прежде чем продолжить работу. Затем он устанавливал подлинный Radmin Server, загружал другие компоненты, создавал задание RadminComponentRuntime с запуском каждые три часа и удалял собственный файл. Исследователи не нашли подтверждения, что установленный сервер Radmin работал. Для удалённой связи использовался отдельный бэкдор SHINYROAD: он загружался с помощью подписанного компонента Radmin и устанавливал исходящее соединение с сервером злоумышленников.

Во время эпизода 20 июля исследователи обнаружили ещё один способ атаки через уведомления. Невидимое окно обращалось к удалённому ресурсу по WebDAV, что могло передать злоумышленникам аутентификационные данные Windows в формате NetNTLMv2. Для этого варианта запуск вредоносной программы не требовался. В более широкой кампании, описанной Google Threat Intelligence Group и Mandiant, затрагивалась также программа удалённого доступа AOMEI AnyViewer.

AOMEI сообщила исследователям о мерах по исправлению своей инфраструктуры. На момент публикации отчёта ManageEngine не подтвердила независимо, что подмена полностью прекращена. Изменения на сервере не удаляют файлы, уже попавшие на компьютеры. Организациям, использующим Backupper или AnyViewer, исследователи рекомендуют проверить активность за период с апреля по июль 2026 года. Среди признаков для проверки они называют запуск программ из папки html внутри Backupper и неожиданное задание RadminComponentRuntime.