AOMEI Backupper güncelleme sunucuları kısa süreliğine ele geçirilip arka kapı dağıtıldı

Saldırganlar, AOMEI Backupper'ın AOMEI'nin kendi sunucularından indirdiği güncelleme dosyalarını birkaç dakikalık zaman dilimlerinde değiştirerek bu sürede güncelleme kontrol eden kurulumlara arka kapı yükledi. The Hacker News'in aktardığına göre Google Tehdit İstihbaratı Grubu (GTIG), Mandiant ve ManageEngine'in Tehdit Analiz Laboratuvarı'nın 16 Ekim 2026'da yayımladığı araştırmalar, etkilenen kurumların aralarında Türkiye'nin de bulunduğu 11 ülkeye yayıldığını ortaya koyuyor.

Neler oldu?

Habere göre AOMEI Backupper, HTTPS üzerinden iki yapılandırma dosyası indiriyor: güncelleme paketini ve sağlama değerini belirten down_html.ini ile açılır pencere içeriğini ve neyin çalıştırılacağını kontrol eden Notifycfg.ini. İki dosya da kriptografik olarak imzalı değil; sağlama değeri de aynı imzasız dosyada yer aldığı için gerçek bir koruma sağlamıyor. Saldırıda herhangi bir yazılım açığı istismar edilmedi.

The Hacker News üç müdahale aralığı aktarıyor (UTC): 28 Mayıs 2026 (05:40–05:50), 16 Temmuz (08:33–08:39) ve 20 Temmuz (10:35–10:40). ManageEngine'in uç nokta yazılımı, 28 Mayıs'ta AOMEI Backupper'ın birbiriyle ilgisiz iki müşteride Radmin kurduğunu tespit etti ve şirket 7 Haziran'da AOMEI'yi uyardı. Mandiant 17 Temmuz'da AOMEI ile iletişime geçti; üretici 29 Temmuz'da sunucularında düzeltici önlem aldığını bildirdi. AOMEI ilk olarak dosyaların aktarım sırasında değiştirildiğini öne sürdü; araştırmacılar ise kanıtların bunu desteklemediğini belirtti. ManageEngine, saldırının tamamen kontrol altına alındığını bağımsız olarak doğrulayamadığını açıkladı.

Teknik detaylar

Zararlı güncelleme, CROSSROAD adı verilen bir indirici kurdu. Bu indirici, Radmin'in gerçek ve imzalı bir kopyasını açarak her üç saatte bir çalışan zamanlanmış bir görev oluşturdu. Görev Radmin'i başlatıyor, Radmin de SHINYROAD implantını içeren saldırgan yapımı bir DLL'i yüklüyordu. SHINYROAD uzaktan komut satırı erişimi ve yeni kod çalıştırma imkânı sağlıyor. Habere göre CROSSROAD, Çin'de bulunan makinelerde çalışmayı durduruyor. GTIG bazı sistemlerde ardından Nitro PDF yazılımı kılığına sokulmuş açık kaynaklı Adaptix C2 altyapısının kurulduğunu gördü. 20 Temmuz'daki müdahalede bildirim dosyası, saldırgana ait bir WebDAV paylaşımına yönelen görünmez bir pencere açacak şekilde de değiştirildi; bu yöntem kullanıcıların NetNTLMv2 kimlik doğrulama yanıtlarını sızdırabiliyor.

GTIG faaliyeti UNC7017 adıyla izliyor ve hedeflemenin fırsatçı olduğunu belirtiyor. Kurbanlar Avustralya, Brezilya, Hindistan, Pakistan, Portekiz, Singapur, Güney Afrika, İspanya, İsviçre, Türkiye ve ABD'de BT hizmetleri, telekomünikasyon ve yükseköğretim alanlarında faaliyet gösteriyor. GTIG, AOMEI'nin uzak masaüstü aracı AnyViewer'ın da aynı güncelleme akışını kullandığını ekliyor.

Ne yapmalı?

Araştırmacılar, üreticinin sunucularını düzeltmiş olmasının kurumları korumaya yetmediği uyarısında bulunuyor. Önerilen adımlar:

• İndirici kalıcılık sağladıktan sonra güncelleme dosyasını orijinal hâline döndürdüğü için Nisan–Temmuz 2026 döneminin tamamında iz arayın.
• RadminComponentRuntime veya NitroRuntime adlı zamanlanmış görevleri, AOMEI yayıncı bilgisi taşıyan imzasız upgrade-now.exe dosyasını ve yerel Radmin uygulama verisi klasöründeki beklenmeyen dosyaları kontrol edin.
• storage-data[.]com, promotion.storage-data[.]com ve aomei.storage-data[.]com alan adlarını; 8.210.84[.]56, 8.218.65[.]184 ve 47.239.60[.]117 IP adreslerini engelleyin.
• Dış adreslere giden SMB (TCP 445) ve WebDAV trafiğini engelleyin.
• Uyarıları üreticinin genellikle temiz dosya sunan indirme sayfasıyla doğrulamayın; önbellekteki dosyaları ve ağ kayıtlarını saklayın, GTIG ile ManageEngine'in yayımladığı YARA ve Sigma kurallarını test ederek uygulayın.