AOMEI Backupperが侵害、短時間だけ改ざんする新手のサプライチェーン攻撃

セキュリティ研究者らは、AOMEI Backupperが4月から7月にかけて、短時間のサプライチェーン侵害によって複数回にわたりユーザーにマルウェアを配布したと警告しています。

AOMEI Backupperは、Windows向けのバックアップ、同期、ディスククローン作成ソフトです。家庭向け、企業向け、Windows Server環境向けに無償版と有償版があります。AOMEIは、自社製品が世界で1億8,600万人以上に利用されていると説明しています。

今回の攻撃は、一般的なサプライチェーン攻撃とは異なり、短時間だけ改ざんする手法をとりました。これにより、ダウンローダー「CrossRoad」とバックドア「ShinyRoad」を配布しました。

「改ざんされた状態が続いたのは、1回あたり5〜10分にすぎず、その後は正規のバージョンに戻りました」。こう報告したのは、Google CloudのGoogle Threat Intelligence Group（GTIG）とMandiantです。両者はManageEngine Threat Analysis Lab（METAL）とともに、この攻撃を調査しました。

攻撃時間帯に改ざん版のAOMEI Backupperパッケージを取得したシステムは、すべて被害を受けました。標的を絞った攻撃ではなく、無差別に狙った攻撃とみられます。

それでもGoogle Cloudは、調査の過程で、オーストラリア、ブラジル、インド、パキスタン、ポルトガル、シンガポール、南アフリカ、スペイン、スイス、トルコ、米国の高等教育機関、ITサービス企業、通信事業者が侵害されたことを確認しています。

「2026年に複数の改ざん時間帯を確認したほか、4月下旬以降、関連するマルウェア検体が実環境で観測されています。ただ、各時間帯が非常に短いことを考えると、当社の観測範囲外で、攻撃期間中にほかの改ざんも行われていた可能性が高いと考えられます」とGoogle Cloudは述べています。

脅威アクターは「UNC7017」として追跡されています。ごく短い攻撃時間帯のあいだに、更新サーバーの更新設定ファイルを改ざんし、悪意あるZIPアーカイブへ誘導しました。さらにサーバーの自動通知サービスを書き換え、システムにマルウェアを自動実行させました。

METALによる分析では、攻撃者がAOMEI Backupperのプロモーションコンテンツ用チャネルを悪用して、マルウェアを配布していたことが分かりました。このチャネルはバックグラウンドサービスを動かし、AOMEIのサーバーに定期的にコンテンツを問い合わせます。コンテンツをディレクトリに配置する設定経路と、それを実行する設定経路の2つがあります。

「2つの経路は同じ場所に行き着きます。一方はhtml\に何が置かれるかを、もう一方はそこから何を実行できるかを制御します。どちらの設定ファイルも、クライアント側で暗号学的な認証をしていません。しかもアーカイブの検証に使うチェックサムは、そのアーカイブを指定する同じ未認証ファイルの中に記載されています」とMETALは説明しています。

ManageEngineの脅威アナリストは、5月28日に攻撃経路の可能性を示す兆候を捉えました。7月16日には、AOMEIが配布するペイロードが切り替わる様子をリアルタイムで観測しました。7月20日には、Mandiantもこの短時間の改ざんを検知しています。

ペイロードを分析したところ、正規版のリモート管理ツール「Radmin Server」が配布されていました。あわせて悪意あるDLLも読み込まれ、攻撃者のコマンド&コントロール（C&C）サーバーへリバースTCP接続を確立する仕組みでした。

Google Cloudの研究者は、UNC7017が二次的な攻撃手段を使っていたことも確認しました。正規のバナーを、最優先で実行される1×1ピクセルのウィンドウに差し替えたのです。これによりAOMEIクライアントはWebDAV経由でリモートリソースを要求し、NetNTLMv2認証ハッシュが攻撃者に送信されました。

攻撃の各段階で、この脅威アクターは複数のペイロードを配布しました。ドロッパーのCrossRoad、改変版のRadmin Server、C&CフレームワークのAdaptixなどです。

CrossRoadは、システムの検証、痕跡の消去、ペイロードの配置を行い、後段のバックドアの永続化を確立したうえで、自身をディスクから削除していました。最終的なペイロードは、モジュール型バックドアフレームワークのShinyRoadでした。

7月には、ShinyRoadの展開に成功した後、UNC7017がAdaptixのポストエクスプロイトフレームワークの一部である「AdaptAgent」を投下する様子が確認されています。

「今回の攻撃は、ソフトウェアのサプライチェーン攻撃の手法が広く進化していることを示しています。従来のサプライチェーン侵入は、ソフトウェアのソースコードにバックドアを仕込んだり、開発者のビルドパイプラインを改ざんしたりする手口が中心でした。UNC7017が使った一時的な設定の改ざんは、負担が小さく、より発覚しにくい代替手段です」とGoogle Cloudは指摘しています。

METALによると、同社は6月上旬にAOMEI Technologyへ改ざんの可能性を通知しました。しかしAOMEI側は、通信の途中でコンテンツが傍受・改変された可能性が高いと主張し、報告を退けたといいます。Google Cloudは7月中旬に再度通知し、AOMEIは7月下旬に是正措置を講じたと説明しました。