Supply-Chain-Angriff auf AOMEI: Update-Server monatelang manipuliert, Betroffene noch nicht benachrichtigt

Aufgedeckt wurde die Kampagne durch das Sicherheitsunternehmen ManageEngine, dessen Forscher die Aktivität zuerst entdeckten; die Google Threat Intelligence Group untersuchte den Vorfall anschließend weiter. Beide veröffentlichten vergangene Woche abgestimmte Berichte. Googles Forscher erklärten, ihnen sei erstmals eine Lieferkettenkompromittierung mit derart kurzen Manipulationsfenstern begegnet, die „traditionelle zeitpunktbezogene Triage und automatisierte Dateiprüfungen faktisch umgeht".

Laut ManageEngine warnte man AOMEI erstmals im Juni, nachdem die eigene Software bei zwei Kunden verdächtige Aktivitäten festgestellt hatte. AOMEI habe die Vorfälle zunächst darauf zurückgeführt, dass Angreifer die Updates während der Übertragung abfingen und veränderten, und nicht auf ein Problem auf eigener Seite. Mindestens zwei weitere Manipulationen folgten nach dieser ersten Warnung. AOMEI erklärte, man habe den Vorfall untersucht und „einige potenzielle Schwachstellen behoben", sei dabei aber „nicht in der Lage gewesen, die Grundursache zu bestimmen".

Erst nach dem Bericht von ManageEngine im Juli, als die Forscher „den genauen Zeitpunkt der Manipulation" lieferten, habe das eigene Team durch Analyse von Serverprotokollen und Dateivergleiche „Spuren des Eindringens" finden können, so AOMEI. Anschließend sei der Server aktualisiert worden; seither seien keine Spuren schädlicher Dateien mehr festgestellt worden. Zur Darstellung von ManageEngine über die ursprüngliche Erklärung äußerte sich das Unternehmen nicht. AOMEI gab an, Google und ManageEngine hätten ihm mitgeteilt, das Problem sei behoben — im Bericht von ManageEngine heißt es dagegen, man habe nicht unabhängig überprüft, ob die Angreifer den Zugang zur Infrastruktur von AOMEI verloren hätten.

Google erklärte, die identifizierten Opfer seien benachrichtigt worden. Sie stammen aus den Bereichen IT-Dienstleistungen, Telekommunikation und Hochschulbildung in knapp einem Dutzend Ländern, darunter die USA, Australien, Indien und Brasilien. Die tatsächliche Zahl der Betroffenen dürfte höher liegen, da die Schadsoftware an jeden ausgeliefert wurde, der während der Angriffsfenster nach Updates suchte: „Angesichts der kurzen Dauer dieser Fenster ist es wahrscheinlich, dass während der Kampagne weitere Manipulationen stattfanden, die außerhalb unseres Sichtfelds blieben." Google führt die Aktivität als Bedrohungscluster UNC7017.

„In AOMEI Backupper wurde nichts ausgenutzt", schrieb ManageEngine. Missbraucht wurde stattdessen der Kanal, über den AOMEI Werbe-Pop-ups ausliefert und der die Konfigurationsdateien nicht authentifizierte. Nach jedem Manipulationsfenster stellten die Angreifer die Originaldateien wieder her, sodass spätere Prüfungen ins Leere liefen. „Ein Backup-Werkzeug läuft permanent, erreicht jede Datei auf dem Rechner, genießt das Vertrauen derjenigen, die es installiert haben, und kommuniziert planmäßig mit seinem Hersteller — nichts davon wirkt ungewöhnlich", so die Forscher von ManageEngine. „Für einen Akteur, der unentdeckt bleiben will, ist der Update-Kanal eines Backup-Anbieters eine nahezu perfekte Tarnung."

Während des Fensters am 20. Juli nutzten die Angreifer Google zufolge zusätzlich ein unsichtbares Pop-up, um Rechner dazu zu bringen, Windows-Passwort-Hashes an einen von den Angreifern kontrollierten Server zu senden — eine Technik, die auch dann funktionieren kann, wenn die Schadsoftware selbst blockiert wurde.

Sowohl Google als auch ManageEngine wiesen darauf hin, dass die serverseitigen Korrekturen bereits infizierte Rechner nicht bereinigen. Organisationen, die AOMEI-Software einsetzen, sollten den gesamten Zeitraum von April bis Juli auf Kompromittierungsspuren durchsuchen. ManageEngine zufolge dokumentiert Googles Bericht auch Angriffe auf AnyViewer, das Fernwartungsprodukt von AOMEI. AOMEI erklärte dagegen, die eigene Überwachung habe ergeben, dass „nur AOMEI Backupper Auffälligkeiten zeigte", bei AnyViewer habe es „keine ungewöhnlichen Aktivitäten" gegeben.

Herkunft und Motivation von UNC7017 sind unbekannt. Nach Angaben von ManageEngine war die eingesetzte Schadsoftware so ausgelegt, dass sie ihre Ausführung abbricht, wenn ein Rechner sich offenbar in China befindet, wenn sein Standort nicht bestimmt werden kann oder wenn bestimmte Sicherheitsprodukte installiert sind. „Diese Kampagne war darauf ausgelegt, keine Spuren zu hinterlassen — und das schließt ihre Identität ein", so die Forscher. Der China-Ausschluss belege nicht, wo die Angreifer sitzen; er könne darauf abzielen, lokale Strafverfolgung oder bestimmte Sicherheitsfirmen zu meiden oder Ermittler in die Irre zu führen.

AOMEI kündigte an, man werde „potenziell betroffene Nutzer einschätzen, proaktiv auf sie zugehen und mit ihnen die notwendigen Sicherheitsmaßnahmen umsetzen". Das Unternehmen hat ein kostenloses Erkennungswerkzeug veröffentlicht und fordert alle, die Backupper während der Expositionsfenster genutzt haben, zum Update und zum Scan ihrer Systeme auf.