Por Canuto  

Hackers manipularon durante varios meses el canal de actualizaciones de AOMEI Backupper, y la empresa todavía evalúa a quiénes pudo afectar. Google advirtió que el número de víctimas podría superar el de las organizaciones que sus investigadores identificaron.
***

  • La intrusión alteró archivos de configuración entre abril y julio, con ventanas de manipulación que duraban minutos.
  • Los atacantes aprovecharon el canal de ventanas promocionales, que no autenticaba los archivos de configuración, y en julio intentaron obtener hashes de contraseñas de Windows.
  • AOMEI lanzó una herramienta gratuita y pidió actualizar y analizar los equipos; corregir el servidor no elimina infecciones previas.

AOMEI aún evalúa a sus clientes tras el secuestro de sus actualizaciones

Un canal de actualizaciones convertido en puerta de entrada

AOMEI, desarrolladora de herramientas de copias de seguridad para Windows, confirmó que hackers alteraron repetidamente archivos de configuración de sus servidores de actualizaciones entre abril y julio. Las modificaciones redirigían el software para descargar malware durante ventanas de apenas unos minutos, lo que dejó a la compañía sin una lista completa de los clientes que pudieron recibir archivos maliciosos. Según informó Recorded Future News, la empresa dijo que todavía no había identificado ni notificado a todas las personas u organizaciones posiblemente afectadas.

El incidente no se originó en una vulnerabilidad explotada directamente dentro de AOMEI Backupper, de acuerdo con ManageEngine, cuyos investigadores detectaron actividad sospechosa en dos clientes y alertaron a la compañía. Los atacantes aprovecharon, en cambio, el canal que el programa emplea para mostrar ventanas emergentes promocionales, cuyos archivos de configuración no exigían autenticación. Esa diferencia importa porque el sistema de actualización podía conducir a los equipos hacia contenido malicioso sin que el software de copias de seguridad hubiera sido vulnerado en su funcionamiento central.

La compañía registrada en Hong Kong dijo que los intrusos modificaron los archivos de configuración y luego restauraron las versiones originales al terminar cada ventana de ataque. Ese método reducía la posibilidad de que una revisión posterior encontrara cambios persistentes en el servidor, sobre todo si los investigadores no conocían la hora precisa de la manipulación. Los investigadores describieron el diseño como una campaña difícil de rastrear: el software de respaldo opera con regularidad, accede a numerosos archivos y se comunica de forma habitual con su proveedor.

ManageEngine aseguró que notificó a AOMEI por primera vez en junio, después de detectar la actividad en dos clientes. Según ese relato, AOMEI inicialmente atribuyó el problema a actores que interceptaban y modificaban las actualizaciones durante el tránsito, y no a una intrusión en su propia infraestructura. La compañía no respondió a Recorded Future News sobre esa explicación inicial, por lo que la versión de ManageEngine y la respuesta pública de AOMEI no coinciden por completo en ese punto.

Advertencias previas y ventanas breves de manipulación

Después de la primera advertencia, los atacantes volvieron a actuar al menos dos veces, pese a que AOMEI afirmó haber investigado y corregido algunas vulnerabilidades potenciales. En esa etapa, la compañía dijo que no había logrado establecer la causa raíz de la brecha, un límite que ayuda a explicar por qué las primeras medidas no impidieron nuevas alteraciones. La empresa pudo avanzar cuando recibió información más precisa sobre el momento de una manipulación posterior.

AOMEI indicó que el informe de julio de ManageEngine le entregó el horario específico en que se había manipulado la configuración. Con esos datos, su equipo revisó registros del servidor y comparó archivos para hallar rastros de la intrusión; luego actualizó el servidor y dijo que no encontró señales de archivos maliciosos desde entonces. Esa declaración se refiere al servidor de actualización y no confirma que los equipos que descargaron malware hayan quedado limpios.

Los investigadores de Google Threat Intelligence Group consideraron que era la primera vez que encontraban un compromiso de cadena de suministro con intervalos de manipulación tan breves. A su juicio, esas ventanas podían eludir tanto la clasificación tradicional de incidentes basada en observaciones puntuales como los análisis automatizados de archivos. Un reporte de The Hacker News indicó que la carga maliciosa distribuida en esas ventanas era SHINYROAD. La corta duración también complica reconstruir qué equipos buscaron actualizaciones mientras el canal apuntaba a contenido malicioso.

Google dijo que notificó a las víctimas que identificó, pertenecientes a los sectores de servicios de TI, telecomunicaciones y educación superior en casi una docena de países. Entre los lugares mencionados figuran Estados Unidos, Australia, India y Brasil, aunque los investigadores advirtieron que el universo real probablemente sea mayor. Como las descargas maliciosas podían llegar a cualquiera que buscara actualizaciones durante las ventanas de exposición, parte de la actividad pudo quedar fuera de su visibilidad.

Qué puede haber ocurrido en los equipos afectados

Durante una de las ventanas, el 20 de julio, los atacantes también utilizaron una ventana emergente invisible para forzar a las máquinas a enviar hashes de contraseñas de Windows a un servidor bajo su control. Un hash es una representación codificada de una contraseña, no la contraseña en texto legible, pero su exposición puede abrir riesgos de seguridad que las organizaciones deben investigar. Los investigadores señalaron que esta técnica podía funcionar incluso si las herramientas de seguridad bloqueaban el malware distribuido por la actualización.

El grupo que los investigadores siguen como UNC7017 utilizó malware diseñado para detenerse si el equipo parecía estar en China, si no podía determinarse su ubicación o si encontraba ciertos productos de seguridad instalados. Esas condiciones describen cómo se comportaba el programa, pero no permiten concluir dónde se encuentran los atacantes ni cuál era su motivación. Los investigadores advirtieron que la exclusión de China podía responder a distintos objetivos, desde evitar a autoridades locales hasta confundir el análisis.

Los informes también documentaron actividad relacionada con AnyViewer, el producto de escritorio remoto de AOMEI, aunque la empresa sostuvo que su monitoreo solo encontró anomalías en Backupper y ninguna actividad irregular en AnyViewer. La diferencia entre ambos relatos deja abierta la cuestión de si hubo incidentes separados o si el monitoreo de la compañía tuvo un alcance distinto al de los investigadores externos. La información disponible no establece que todos los usuarios de los dos productos hayan estado expuestos.

AOMEI afirmó que evaluará a los usuarios potencialmente afectados, los contactará de forma proactiva y trabajará con ellos para aplicar medidas de seguridad. También lanzó una herramienta gratuita de detección e instó a quienes usaron Backupper durante las ventanas de exposición a actualizar el software y analizar sus sistemas. ManageEngine y Google advirtieron que corregir el servidor no limpia las computadoras que ya pudieron infectarse, por lo que las organizaciones deben revisar señales de compromiso correspondientes al período de abril a julio.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados