Zálohovací program patrí k nástrojom, ktorým dôverujeme najviac. Inštalujeme ho preto, aby nás chránil pred stratou dát, často mu dávame najvyššie oprávnenia v systéme a necháme ho, nech si sám sťahuje aktualizácie. Práve túto dôveru zneužili útočníci v prípade populárneho programu AOMEI Backupper. Bezpečnostní výskumníci z Google Threat Intelligence Group (GTIG), Mandiantu a laboratória ManageEngine tento týždeň zverejnili podrobnosti o útoku, pri ktorom aktualizačný kanál zálohovacieho softvéru niekoľkokrát na pár minút rozosielal zadné vrátka.

Čo sa stalo

Podľa zverejnených analýz útočníci, ktorých Google eviduje pod označením UNC7017, opakovane menili dva konfiguračné súbory na serveroch spoločnosti AOMEI. Tieto súbory určujú, čo si program stiahne a spustí, keď kontroluje novinky a aktualizácie. Potvrdené sú tri časové okná: 28. mája (asi 10 minút), 16. júla (asi 6 minút) a 20. júla 2026 (asi 5 minút). Podľa GTIG sa podobné zásahy diali už od apríla a niektoré okná pravdepodobne nikto nezachytil.

Počítače, ktoré sa v tých minútach pripojili po aktualizáciu, si namiesto neškodného obsahu stiahli balík so sťahovačom nazvaným CROSSROAD. Ten nainštaloval nástroj na vzdialenú správu a zadné vrátka SHINYROAD, ktoré útočníkom umožňujú spúšťať príkazy na napadnutom počítači. Potom sa na serveroch znovu objavili pôvodné, čisté súbory – takže kto sa pozrel o pár minút neskôr, nevidel nič podozrivé.

Zasiahnuté organizácie sa našli v 11 krajinách vrátane USA, Austrálie, Brazílie, Indie, Španielska či Švajčiarska, najmä v IT službách, telekomunikáciách a vysokom školstve. Výskumníci zdôrazňujú, že skutočný rozsah je pravdepodobne väčší. Útočníka zatiaľ nikto verejne nespojil s konkrétnou krajinou ani známou skupinou.

Prečo to fungovalo bez jedinej softvérovej chyby

Zaujímavé je, že útok nevyužil žiadnu klasickú zraniteľnosť. Problém bol v návrhu: konfiguračné súbory, ktoré program sťahoval, neboli kryptograficky podpísané. Kontrolný súčet, ktorým sa mal overiť stiahnutý balík, navyše prichádzal v tom istom nechránenom súbore ako samotná adresa na stiahnutie. Kto dokázal zmeniť súbor, zmenil aj „pečiatku pravosti“.

Dôležitú úlohu zohrala aj krátkosť útokov. Bežné bezpečnostné nástroje často kontrolujú, či je súbor alebo webová adresa známa ako škodlivá. Keď analytik o niekoľko hodín overoval podozrivé hlásenie, server už ponúkal čistý obsah. GTIG to označil za prvý prípad takto krátkodobej manipulácie s dodávateľským reťazcom, ktorý zaznamenal.

Ako zareagoval výrobca

ManageEngine upozornil AOMEI 7. júna, Mandiant 17. júla. Firma podľa výskumníkov najskôr tvrdila, že obsah bol zmenený počas prenosu, čo podľa laboratória dôkazy nepodporovali. Koncom júla oznámila, že na serveroch prijala nápravné opatrenia. ManageEngine však uvádza, že úplné vyčistenie nezávisle neoverilo. A hlavne: oprava na strane servera neodstráni malvér z počítačov, ktoré ho už dostali.

Čo to znamená pre bezpečnosť dát a obnovu dát

Zálohovací softvér má prístup prakticky ku všetkým súborom a často beží s administrátorskými alebo systémovými právami. Ak sa z neho stane vstupná brána, útočník môže čítať citlivé dáta, pripraviť pôdu pre ransomvér alebo poškodiť samotné zálohy – teda presne to, na čo sa v kritickej chvíli spoliehame. Tento prípad je ďalšou pripomienkou, že záloha je silná len vtedy, keď je oddelená od systému, ktorý chráni.

Praktické rady

• Ak používate AOMEI Backupper alebo AnyViewer, aktualizujte ich z oficiálneho zdroja a nechajte počítač preveriť aktuálnym bezpečnostným softvérom. Firmy by mali v logoch hľadať naplánované úlohy s názvami RadminComponentRuntime alebo NitroRuntime a nečakanú inštaláciu nástroja Radmin.
• Dodržujte pravidlo 3-2-1: tri kópie dát, na dvoch rôznych médiách, z toho jedna mimo pracoviska alebo offline. Odpojený externý disk útočník na diaľku nezašifruje.
• Používajte nemenné (immutable) alebo verzované zálohy, ktoré sa nedajú prepísať ani vymazať z bežného účtu.
• Pravidelne skúšajte obnovu. Záloha, z ktorej ste nikdy nič neobnovili, je len predpoklad.
• Obmedzte oprávnenia zálohovacích a vzdialených nástrojov na nevyhnutné minimum a sledujte, aké procesy spúšťajú.

Varovné príznaky a čo nerobiť

Spozornite, ak sa v systéme objaví neznámy program na vzdialenú správu, počítač nezvyčajne komunikuje so sieťou, zálohy zrazu zlyhávajú alebo sa súbory menia bez vášho zásahu. Pri podozrení na napadnutie alebo pri strate dát neinštalujte na postihnutý disk nové programy, nespúšťajte opakovane obnovovacie nástroje stiahnuté z internetu a disk zbytočne neformátujte. Každý zápis môže prepísať práve tie dáta, ktoré ešte bolo možné zachrániť. Rozumnejšie je počítač odpojiť od siete, zachovať stav a prizvať odborníkov.

Keď už dáta chýbajú

Ak ste prišli o dôležité súbory – či už po útoku, poruche disku alebo nevydarenej obnove zo zálohy – kontaktujte odborníkov na www.zachranaudajov.sk. Neskúšajte svojpomocné opravy, ktoré môžu poškodenie zhoršiť a znížiť šancu na úspešnú záchranu dát.

Zdroj: ManageEngine Threat Analysis Lab – AOMEI Backupper supply-chain compromise; doplnkovo TechInformed