С апреля по июль 2026 года неизвестные несколько раз меняли служебные файлы на серверах обновлений AOMEI Backupper и AnyViewer. Первая программа отвечает за резервное копирование и клонирование дисков, вторая - за удалённый доступ к рабочему столу. Каждое изменение держалось от пяти до десяти минут, после чего настройки возвращали в исходное состояние. Именно в этот промежуток клиенты вместо официального обновления получали вредоносную сборку. Среди пострадавших - организации из Австралии, Бразилии, Индии, Пакистана, Португалии, Сингапура, ЮАР, Испании, Швейцарии, Турции и США.
Описание
Первыми подмену заметили в лаборатории ManageEngine Threat Analysis Lab, входящей в Zoho Corporation: в конце мая её система обнаружения на конечных точках сработала сразу в нескольких клиентских средах. Позже выводы подтвердили в совместном отчёте Google Threat Intelligence Group и Mandiant. За кампанией закрепили обозначение UNC7017.
Клиент AOMEI время от времени обращается к двум файлам настроек на сервере вендора. Один описывает версию программы, контрольную сумму и адрес загрузки обновления. Второй задаёт всплывающие сообщения и команды, которые должны выполняться на машине пользователя. Пока файлы не тронуты, загрузка идёт с официального домена. В минуты подмены злоумышленники подставляли чужой адрес, поднимали номер сборки и синхронизировали с ним контрольную сумму. Для клиента всё выглядело как плановое обновление. Уязвимости в коде при этом не использовались - сработала штатная логика обновления.
Шестнадцатого июля к этому добавился ещё один приём. Файл настроек уведомлений раздули, дописав более 35 000 одинаковых разделов. Объём перекрывал штатную проверку версии и заставлял программу запускать обновление независимо от установленной сборки. Сразу после этого исполнялся загруженный файл.
Три окна и их следы
Прямо зафиксированы три эпизода. Двадцать восьмого мая настройки оставались изменёнными десять минут, шестнадцатого июля - шесть, двадцатого июля - пять. В конце каждого окна оба файла возвращались в легитимное состояние. Такой приём мешает проверке: если специалист откроет сервер вендора через час после срабатывания, он увидит только корректные данные и может счесть сигнал ложным.
Инфраструктура доставки менялась
В апреле и мае вредоносные сборки лежали в облачном хранилище Alibaba Cloud. В первые дни июля злоумышленники перешли на собственные домены, оформленные под бренд вендора. Двадцатого июля первичная загрузка шла уже через публичное облако Google: так обходили корпоративные фильтры, блокирующие недавно зарегистрированные домены. Вторичные компоненты по-прежнему забирались с доменов-двойников.
Тихий сбор учётных данных
В тот же день в настройках уведомлений появилось невидимое окно размером один на один пиксель с самым высоким приоритетом. Вместо рекламного баннера клиент получал указание открыть внешний сетевой ресурс по протоколу WebDAV (способ доступа к файлам через интернет). Из-за этого машина сама, без действий пользователя, отправляла злоумышленникам данные проверки подлинности Windows. Перехваченные учётные данные позволяют войти в корпоративную сеть даже там, где запуск вредоносной программы заблокирован.
Цепочка загрузки
Основную работу выполнял загрузчик CROSSROAD, отвечавший за первичное проникновение. Он проверял окружение, уточнял страну по внешним службам и прекращал работу, если определял Китай. Затем создавал задание в планировщике Windows, распаковывал полезную нагрузку и стирал себя с диска. Дальше разворачивалась скрытая программа удалённого управления SHINYROAD. Она пряталась внутри легитимной утилиты администрирования Radmin и запускалась через подмену библиотеки. Третьим шагом шёл инструмент Adaptix C2, платформа для управления заражёнными машинами, замаскированная под рекламные утилиты Nitro PDF. Связь с управляющими серверами велась зашифрованными сеансами каждые две минуты.
Правки на сервере не лечат машины
Вендор узнал о проблеме 17 июля, а 29 июля сообщил, что защита серверов распространения усилена. Заражённые машины от этого чище не стали. Те, кто успел получить обновление в минуты подмены, сохранили задачи планировщика, и те продолжают работать. Картину запутывает и сам загрузчик: он возвращает локальные настройки обновления к исходному виду, поэтому следы первичного проникновения почти не читаются. Проверка ссылок вендора в реальном времени больше не даёт ответа на вопрос о заражении. Организациям, которые используют эти продукты, нужен ретроспективный поиск по сетям за весь период с апреля по июль. Подпись конфигурационных файлов и жёсткая привязка загрузки к официальным доменам остаются базовой мерой защиты канала распространения.
Индикаторы компрометации
YARA
