תוכנת הגיבוי שהתקנתם בודקת כל כמה זמן אם יצא לה עדכון, בלי לשאול אתכם. ב-28 במאי, בין 05:40 ל-05:50 לפי שעון UTC, כל מחשב שבדיוק אז שאל את שרתי AOMEI אם יש עדכון קיבל תשובה שמישהו אחר כתב. עשר דקות אחר כך הקבצים בשרת חזרו למקור, וכל מי ששאל מאוחר יותר קיבל עדכון תקין לחלוטין.

מה קרה

AOMEI Backupper היא תוכנת גיבוי ושכפול דיסקים לווינדוס של חברה הרשומה בהונג קונג, ומי שמתקין אותה מקבל גם שירות רקע שבודק מול שרתי היצרן אם יש עדכון או פרסומת. שני קבצי טקסט מנהלים את הבדיקה: אחד מצביע על חבילת העדכון ומכיל את הסיכום שאמור להוכיח שהיא מקורית, והשני אומר לשירות הפרסומות מה להציג ומה להריץ. אף אחד מהם לא חתום, והסיכום שאמור לאמת את ההורדה יושב בתוך הקובץ שגם מצביע עליה. מי ששולט בהם שולט על מה שהמחשב יוריד ויריץ.

בין מאי ליולי מישהו עשה בדיוק את זה, שוב ושוב, בחלונות קצרים של חמש עד עשר דקות. Google Threat Intelligence Group ו-Mandiant מאשרות שלושה חלונות כאלה, ב-28 במאי, ב-16 וב-20 ביולי, ומעריכות שהיו עוד שהן לא ראו. לא נוצלה כאן שום חולשה בתוכנה ולא נדרשה שום פעולה מהמשתמש, רק שהתוכנה מותקנת ורצה ברקע.

מחשב שהספיק להוריד את החבילה קיבל רכיב שפרק קבצים לתיקייה מקומית, יצר משימה מתוזמנת שרצה כל שלוש שעות ומחק את עצמו מהדיסק. המשימה מריצה עותק אמיתי וחתום של Radmin, כלי שליטה מרחוק מסחרי, שטוען לידו ספרייה שהתוקף כתב, וזו טוענת רכיב שנותן למפעיל שורת פקודה מרחוק ויכול למשוך ולהריץ קוד נוסף. לרכיב הזה החוקרים קוראים SHINYROAD.

AOMEI מסרה ל-Mandiant בסוף יולי שתיקנה את השרתים שלה, אבל המעבדה של ManageEngine כותבת שלא אימתה בעצמה שהאירוע נבלם. אף אחד משני הדוחות לא אומר איך התוקף הגיע מלכתחילה ליכולת לשנות קבצים בשרתי היצרן.

למה זה חשוב לכם

גוגל מונה נפגעים בתחומי IT, תקשורת והשכלה גבוהה ב-11 מדינות, ישראל אינה ברשימה, והיא מדגישה שלא נתנה מספר כולל ושההיקף האמיתי כנראה גדול יותר. AOMEI Backupper היא תוכנה חינמית שיושבת על לא מעט מחשבים פרטיים ועסקים קטנים בדיוק מהסיבה הזאת, וגם AnyViewer, כלי השליטה מרחוק של אותה חברה, משתמש באותו מסלול עדכון.

החלק שכדאי לקחת מכאן הוא לא שם הנוזקה אלא הדרך שבה היא נכנסה. הקוד הזדוני לא הגיע מקובץ מפוקפק מאתר אקראי, אלא מהעדכון הרשמי של תוכנה שבחרתם להתקין, מהשרת של היצרן עצמו. למהלך כזה קוראים מתקפת שרשרת אספקה, וזה גם מה שהופך אותו לקשה לתפיסה: מערכת ההגנה רואה תוכנה מוכרת שמעדכנת את עצמה.

מה עושים?

אם מותקנת אצלכם AOMEI Backupper או AnyViewer, פתחו את מתזמן המשימות של ווינדוס (Task Scheduler) וחפשו משימה בשם RadminComponentRuntime או NitroRuntime. אם אחת מהן קיימת ואתם לא התקנתם Radmin בעצמכם, התייחסו למחשב כאל מחשב פרוץ.

אל תסיקו שהכול בסדר מזה שעמוד ההורדה של היצרן נראה תקין היום. הקבצים הוחזרו למקור תוך דקות, ולכן העמוד הציג תוכן מקורי כמעט כל הזמן, וחוקרים כבר פסלו בגללו התראות אמיתיות.

שרת שתוקן לא מנקה מחשב שכבר נדבק. אם מצאתם סימן כזה, שנו את הסיסמאות שלכם ממכשיר אחר ולא מאותו מחשב.

חלון של חמש דקות קצר מכדי שרוב כלי האבטחה יבחינו בו, ומספיק לגמרי בשביל מחשב אחד שבדיוק אז שאל אם יש לו עדכון.