AOMEI Technologyのアップデートシステムが悪用されたとみられるサプライチェーン攻撃が確認されました。同社は「AOMEI Backupper」や「AnyViewer」を手がけています。攻撃者はこの仕組みを使い、ダウンローダー「CROSSROAD」とバックドア「SHINYROAD」をWindows環境に送り込みました。
Google Threat Intelligence Group（GTIG）とMandiantは、この攻撃者を「UNC7017」として追跡しています。活動は2026年4月から7月にかけて続いていたとのことです。
Google Cloudが公開した技術的な調査結果によると、UNC7017はAOMEIのサーバーに悪意のあるファイルを残していませんでした。設定ファイルのdown_html.iniとNotifycfg.iniの2つを短時間だけ書き換え、その後すぐに元へ戻していたのです。
GTIGは、これほど短い時間枠を使ったサプライチェーン侵害は初めて確認したと述べています。
確認された改ざんの時間枠は、5月28日の10分間、7月16日の6分間、7月20日の5分間です。この間にアップデートを確認したクライアントだけがマルウェアを受け取りました。
それ以外の時間に確認したクライアントには正常なファイルが配信されました。このため、ある時点のファイルを調べるトリアージや自動ファイルスキャンでは、改ざんを見つけられません。
攻撃者はソフトウェアの脆弱性を突いたのではなく、クライアントの通常のアップデート処理を悪用しました。まずdown_html.iniを書き換え、悪意のあるupgrade-now.zipを指すようにしました。ここではバージョン番号を引き上げ、一致するMD5ハッシュも用意することで、クライアントに正規のものとして受け入れさせています。
Notifycfg.iniには3万5000行を超えるダミー行が埋め込まれていました。これによって更新が強制的に実行され、展開されたupgrade-now.exe、つまりCROSSROADが起動します。CROSSROADはホストのパブリックIPを確認し、国が中国であればメインのペイロードの実行経路を終了します。それ以外の場合はミューテックスを取得し、component.zipをダウンロードして%LOCALAPPDATA%\Radminに展開します。
続いて、RadminComponentRuntimeというスケジュールタスクを作成し、FamItrfc.exe –runtimechkを3時間ごとに実行させます。その後、NTFSの代替データストリームを利用する手口で自身を削除し、ローカルの.iniファイルも元の状態に戻して痕跡を消します。
次に、署名済みの正規のRadminバイナリであるFamItrfc.exeが、DLLサーチオーダーハイジャックによって悪意のあるBlkScrDl.dllを読み込みます。このDLLはインプロセスのCOMサーバーを登録し、RuntimeComponent.dllがChaCha20で保護されたペイロードを復号します。
ペイロードはPythonバイトコードで、組み込みのPocketPyインタープリター上で動作し、8.218.65.184:443に接続します。SHINYROADは、リモートシェルアクセス、ジャンクトラフィックによるパディング、メモリ内拡張機能に対応しています。
マルウェアの配置先は、4月と5月はAlibaba Cloudのストレージでしたが、7月上旬には攻撃者が所有するstorage-data.comドメインに移りました。7月20日には、最初のダウンロードが公開状態のGoogle Cloud Storageバケットから行われています。
これにより、新規登録ドメインをブロックするプロキシを回避できました。同じく7月20日には、Notifycfg.ini内に仕込まれた非表示の1×1ポップアップが、8.210.84.56へのWebDAVリクエストを強制しました。これはNetNTLMv2ハッシュの漏えいにつながるおそれがあります。
7月中旬には、攻撃者がAdaptix C2エージェントの「ADAPTAGENT」をNitro PDFツールに偽装してインストールしました。このエージェントは\NitroRuntimeというスケジュールタスクを使い、2分ごとに8.210.84.56:6800へビーコンを送信します。5月28日には、改変されたRadmin Serverもインストールされました。
被害者は無差別に選ばれていました。オーストラリア、ブラジル、インド、パキスタン、ポルトガル、シンガポール、南アフリカ、スペイン、スイス、トルコ、米国のITサービス、通信、高等教育機関が含まれます。この活動を最初に検知したのは、5月下旬のManageEngine Threat Analysis Labでした。
MandiantはAOMEIに7月17日に通知し、AOMEIは7月29日に是正措置を講じたと説明しました。ただし、サーバーを修正しても、すでに感染したマシンは元に戻りません。組織は、4月から7月の期間を対象に、上記のタスクや、Radminバイナリに読み込まれた署名のないDLLを探索する必要があります。
あわせて、記載されたインフラや、外向きのSMB通信およびWebDAV通信もブロックすべきです。アナリストは、ベンダーの本番URLではなく、AOMEIのTmphtmlフォルダーにキャッシュされた.iniファイルを確認してください。
翻訳元: https://cyberpress.org/fake-aomei-updates-windows-backdoors/
