ב-28 במאי, בשתי חברות לא קשורות בשתי מדינות שונות, תוכנת הגיבוי AOMEI Backupper התקינה לבד כלי שליטה מרחוק בשם Radmin. אף אחד לא לחץ על כלום. התוכנה בדקה אם יש לה עדכון, קיבלה תשובה מהשרת של היצרן, ופעלה לפיה.

מה קרה

חוקרים מ-ManageEngine, מקבוצת מודיעין האיומים של גוגל ומ-Mandiant פרסמו ביום שני שהשרתים של AOMEI שירתו תוכן זדוני בשלושה חלונות קצרים בין אפריל ליולי 2026. התוקפים לא נגעו בקובץ ההתקנה. הם ערכו לזמן קצר שני קבצי הגדרות קטנים על השרתים: אחד שאומר לתוכנה מאיפה להוריד חבילות עדכון, ושני שמנהל את ההודעות והפרסומות שהיא מציגה ויכול להפעיל תוכן על המחשב. שינוי של שתי השורות האלה הספיק כדי להפנות את התוכנה לארכיון נגוע ולהריץ אותו בלי שהמשתמש עשה דבר.

החלק המתוחכם בא אחר כך. התוקפים עדכנו גם את ה-checksum, חתימת הביקורת שהתוכנה משווה אליה כדי לוודא שהקובץ שהורד הוא הנכון, כך שהארכיון הזדוני עבר את הבדיקה של התוכנה עצמה. ואז, בתוך דקות, הם החזירו את קבצי ההגדרות למקור. נמצאו חלון של עשר דקות ב-28 במאי, שש דקות ב-16 ביולי וחמש ב-20 ביולי. מי שלא בדק עדכונים באותן דקות לא ראה כלום.

מה שהותקן שם היה downloader בשם CROSSROAD, שאסף מידע על המחשב, הוריד רכיבים נוספים וחזר אחרי אתחול דרך משימה מתוזמנת, ואחריו דלת אחורית בשם SHINYROAD שהשתמשה ברכיבים לגיטימיים של Radmin כדי לטעון קוד זדוני ולפתוח חיבור יוצא לשרת שליטה ובקרה (C2). גוגל מייחסת את הפעילות לקבוצה שהיא עוקבת אחריה בשם UNC7017.

כמה מחשבים נדבקו, אף אחד לא אמר. החוקרים זיהו ארגונים נפגעים בשש מדינות, בעיקר בשירותי IT, תקשורת והשכלה גבוהה, וגוגל מסייגת שהמתקפה הייתה הזדמנותית וכל מי שבדק עדכונים אז עלול היה להיפגע. AOMEI קיבלה התראה ראשונה ב-7 ביוני. בתגובה היא העלתה את האפשרות שהתוכן שונה בדרך אל המשתמש, הסבר שהחוקרים דחו משום שהקבצים הגיעו ב-HTTPS מכתובות של AOMEI עצמה. מאוחר יותר אמרה שבבדיקה הראשונית שלה לא נמצאה עדות לפריצה, ול-BleepingComputer אמרה שסמנכ"ל הטכנולוגיות שלה מוביל חקירה פנימית. היא לא אישרה איך נכנסו התוקפים, ולא שהנושא נסגר.

למה זה חשוב לכם

AOMEI Backupper היא אחת מתוכנות הגיבוי החינמיות הנפוצות לווינדוס, מהסוג שמותקן גם על מחשבים פרטיים וגם במשרדים קטנים בישראל, בדיוק מפני שהיא חינמית. והסיפור לא תלוי במדינה: מי שהתוכנה שלו בדקה עדכון באותן דקות קיבל את התוכן הזדוני.

והנקודה הרחבה נוגעת לכל תוכנה שמעדכנת את עצמה. הקובץ הגיע בחיבור מוצפן, מהדומיין של היצרן, ועבר את בדיקת התקינות של התוכנה. כל הסימנים שאנחנו מלמדים אנשים לחפש היו בסדר.

מה עושים?

אם AOMEI Backupper מותקנת אצלכם, הריצו סריקה מלאה עם Microsoft Defender או עם האנטי-וירוס שלכם, ופתחו את מתזמן המשימות של ווינדוס כדי לחפש משימה שאינכם מזהים.

בדקו אם Radmin מותקן על המחשב. זו תוכנת שליטה מרחוק לגיטימית, ואם לא אתם התקנתם אותה, צריך לבדוק את המחשב ברצינות ולא רק להסיר אותה.

אם אתם משתמשים בה פעם בכמה חודשים, הסירו אותה בינתיים. תוכנה חינמית שמתחברת לשרת היצרן כדי להציג פרסומות היא ערוץ פתוח, גם כשהיא מתנהגת.

החזיקו גיבוי אחד שאינו מחובר למחשב, דיסק חיצוני שמנתקים בסוף הגיבוי. גיבוי שמחובר תמיד נפגע יחד עם המחשב.

מה שנפרץ כאן הוא לא קובץ ההתקנה אלא ערוץ הפרסומות שבתוכנה, והוא החלק שאף אחד לא חושב לבדוק.