UNC7017 скомпрометировала инфраструктуру обновлений AOMEI
С апреля по июль 2026 года кластер угроз UNC7017 компрометировал инфраструктуру обновления программного обеспечения AOMEI Technology. Злоумышленники использовали повторяющиеся окна изменения конфигурации длительностью от пяти до десяти минут, чтобы направлять часть клиентов на вредоносные обновления.
Временная подмена обновлений AOMEI
Вместо постоянного изменения пакетов обновлений UNC7017 временно модифицировала файл down_html.ini, перенаправляя клиентов на вредоносные ZIP-архивы, и изменяла Notifycfg.ini, чтобы запустить обновление немедленно через механизм уведомлений AOMEI. После каждого окна файлы возвращались к легитимному содержимому. Это ограничивало возможности криминалистического анализа и позволяло получить вредоносное обновление только системам, которые опрашивали сервер в активный интервал.
Вредоносный архив доставлял CROSSROAD, 64-разрядный загрузчик для Windows с именем файла upgrade-now.exe. Перед выполнением он проверял, содержит ли путь к нему строку «AOMEI», запрашивал геолокацию у внешних сервисов и создавал мьютекс. Загрузчик может прервать выполнение полезной нагрузки на системах, определённых как находящиеся в Китае.
CROSSROAD восстанавливал локальные значения конфигурации AOMEI, загружал и распаковывал второй архив из инфраструктуры злоумышленников, а также создавал запланированную задачу RadminComponentRuntime, которая запускалась каждые три часа. Затем загрузчик удалял себя, используя альтернативные потоки данных и методы управления файлами. Для обхода обнаружения он применял сфабрикованные временные метки PE и метаданные, имитирующие сведения о поставщике.
Полезная нагрузка SHINYROAD
Этапированная полезная нагрузка SHINYROAD использовала легитимные административные исполняемые файлы Radmin и загружала библиотеку через подмену DLL-файла BlkScrDl.dll. Загрузчик помещал зашифрованные данные конфигурации в общую память, регистрировал RuntimeComponent.dll как внутрипроцессный COM-сервер и расшифровывал встроенный байт-код Python. Для этого применялись ChaCha20 и материал, полученный на основе HMAC-SHA256.
SHINYROAD использовал встроенный интерпретатор PocketPy для управления. Он поддерживал удалённое выполнение команд, зашифрованные коммуникации, генерацию помех в сетевом трафике и расширения в памяти. Более ранние варианты взаимодействовали по TCP. В наблюдавшейся инфраструктуре фигурировал IP-адрес 8.218.65.184 на портах 443 и 41397.
Другие действия и рекомендации
UNC7017 также заменила легитимный баннер уведомлений невидимым ресурсом WebDAV с высоким приоритетом. В результате клиенты запрашивали удалённый путь file:// и могли передавать хеши NetNTLMv2 на IP-адрес под контролем злоумышленников. В ходе последующей активности развернули инструмент управления и контроля Adaptix, замаскированный под программное обеспечение Nitro PDF. В частности, использовался файл Eztwain4.dll для подмены DLL, а сигналы отправлялись каждые две минуты на адрес 8.210.84.56:6800.
Восстановление серверов AOMEI не устраняет заражение конечных точек. Авторы отчёта рекомендуют организациям:
- проверить кэшированные файлы конфигурации AOMEI, запланированные задачи, каталоги Radmin, подозрительную подмену DLL, журналы прокси и исторические данные сетевой телеметрии за период с апреля по июль 2026 года;
- ограничить исходящий доступ по WebDAV и SMB к внешним системам;
- отследить выявленные доменные имена, IP-адреса и артефакты вредоносного ПО во всех затронутых средах.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
