Los atacantes manipularon los servidores de actualización de AOMEI Backupper durante unos minutos para introducir una puerta trasera

Un grupo de ata­can­tes ma­ni­pu­ló los ser­vi­do­res de ac­tua­li­za­ción del pro­gra­ma de res­pal­do para Win­dows AOMEI Bac­kup­per, cam­bian­do re­pe­ti­da­men­te ar­chi­vos es­pe­cí­fi­cos du­ran­te lap­sos bre­ves de cinco a diez mi­nu­tos. Estas al­te­ra­cio­nes per­mi­tie­ron que cual­quier copia del pro­gra­ma que bus­ca­ra ac­tua­li­za­cio­nes en esos mo­men­tos des­car­ga­ra y eje­cu­ta­ra una puer­ta tra­se­ra sin que exis­tie­ra nin­gu­na vul­ne­ra­bi­li­dad en el soft­wa­re ni fuera ne­ce­sa­ria la in­ter­ven­ción del usua­rio.

Las in­ves­ti­ga­cio­nes re­ve­la­ron ven­ta­nas de ma­ni­pu­la­ción en fe­chas con­cre­tas y afec­ta­ron a or­ga­ni­za­cio­nes de di­ver­sos sec­to­res en va­rios paí­ses de ma­ne­ra opor­tu­nis­ta. El pro­ce­so ma­li­cio­so uti­li­za­ba un des­car­ga­dor para des­com­plan­tar he­rra­mien­tas co­mer­cia­les y es­ta­ble­cer ta­reas pro­gra­ma­das que car­ga­ban im­plan­tes ca­pa­ces de otor­gar con­trol re­mo­to a los ata­can­tes, ade­más de in­cluir me­ca­nis­mos para de­te­ner­se si de­tec­ta­ban ubi­ca­cio­nes geo­grá­fi­cas es­pe­cí­fi­cas u cier­tos agen­tes de se­gu­ri­dad en el sis­te­ma.

AOMEI co­rri­gió sus ser­vi­do­res tras ser aler­ta­da por los la­bo­ra­to­rios de in­ves­ti­ga­ción, aun­que dicha so­lu­ción no eli­mi­na la puer­ta tra­se­ra de los equi­pos que ya ha­bían sido in­fec­ta­dos pre­via­men­te. Los ana­lis­tas ins­tan a las or­ga­ni­za­cio­nes a rea­li­zar bús­que­das exhaus­ti­vas en los re­gis­tros y ar­chi­vos lo­ca­les, dado que la na­tu­ra­le­za fugaz de los cam­bios en los ser­vi­do­res com­pli­ca la de­tec­ción me­dian­te mé­to­dos tra­di­cio­na­les.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre cómo los ata­can­tes lo­gra­ron ac­ce­der ori­gi­nal­men­te a los ser­vi­do­res de AOMEI para mo­di­fi­car los ar­chi­vos.