AOMEI-Updater manipuliert: Google untersucht Angriffe über legitime Software-Updates
Ein legitimer Software-Updater ist für viele Nutzer ein Vertrauenssignal – im Fall von AOMEI Backupper wurde genau dieser Kanal zeitweise missbraucht. Googles Threat Intelligence Group hat einen Angriff auf die Update-Infrastruktur dokumentiert, bei dem Angreifer in kurzen, gezielt gewählten Zeiträumen schädliche Inhalte ausliefern konnten. Nicht jeder installierte AOMEI-Updater war automatisch infiziert.
Der eigentliche Trick: Nur zeitweise verseuchte Antworten
Die Untersucher beschreiben eine als UNC7017 verfolgte Aktivität, bei der Angreifer die Infrastruktur zur Softwareverteilung vorübergehend beeinflussten. Statt dauerhaft manipulierte Downloads anzubieten, wurden die schädlichen Antworten in einzelnen kurzen Zeitfenstern eingeschleust. Das erschwert klassische nachträgliche Kontrollen, denn ein späterer Download derselben Software kann bereits wieder sauber sein.
Die Kampagne nutzte laut Google mehrere Schadkomponenten, darunter die Namen CROSSROAD und SHINYROAD. Außerdem beschreibt der Bericht Verfahren zur Sammlung beziehungsweise Weitergabe von Anmeldeinformationen. Er nennt auch weitere verdächtige Spuren im Umfeld von Remote-Software. Für Anwender ist wichtig: Die bloße Existenz eines Produkts auf dem PC beweist nicht, dass exakt in einem betroffenen Zeitfenster eine manipulierbare Update-Antwort empfangen wurde.
Warum das bei Backup-Programmen besonders problematisch ist
Eine Backup-Anwendung arbeitet oft mit weitreichenden Dateirechten, greift auf externe Laufwerke zu und wird regelmäßig aktualisiert. Wird ein solcher Prozess selbst zur Eintrittsstelle für Schadsoftware, können neben persönlichen Dateien auch Zugänge oder Sicherungsziele gefährdet sein. Ob bestimmte Daten tatsächlich abgeflossen sind, muss im Einzelfall anhand von Protokollen und forensischen Hinweisen untersucht werden.
Was Nutzer und Administratoren jetzt tun sollten
- Bezugsquelle kontrollieren: Installationspakete nur über die offizielle Website oder verifizierte Kanäle beziehen und Aktualisierungshistorie prüfen.
- Bei Verdacht Endpunkt untersuchen: Sicherheitssoftware und Ereignisprotokolle verwenden; die vom Forschungsteam veröffentlichten Indicators of Compromise abgleichen.
- Gespeicherte Zugangsdaten nicht vergessen: Bei belegtem Befall insbesondere exponierte Konten und Zugriffsschlüssel erneuern.
- Backup unabhängig prüfen: Eine getrennte, vertrauenswürdige Sicherung nutzen und deren Wiederherstellbarkeit testen; beschädigte Windows-Installationen nicht blind mit alten ausführbaren Programmen zurückspielen.
Das ist keine Aufforderung, eine intakte Backup-Lösung ohne Befund sofort zu löschen. Ein sicherer Umgang mit Datensicherungen bedeutet vor allem, die Backup-Strategie und die Software-Herkunft unabhängig zu kontrollieren.
Primärquelle: Google Threat Intelligence Group / Mandiant – Untersuchung zum zeitweisen Supply-Chain-Angriff.
