UNC7017 prende di mira AOMEI Technology in un attacco alla catena di fornitura software

Riepilogo

UNC7017 ha condotto una sofisticata campagna di attacco alla catena di fornitura del software prendendo di mira l’infrastruttura di aggiornamento di AOMEI Technology. L’attore della minaccia ha utilizzato brevi finestre di manomissione della configurazione per reindirizzare le richieste di aggiornamento verso server dannosi, aiutando a eludere la scansione tradizionale punto nel tempo. La campagna ha consegnato una catena di payload a più stadi che includeva il downloader CROSSROAD e il backdoor SHINYROAD.

Indagine

L’indagine è stata condotta congiuntamente dal Mandiant Google Threat Intelligence Group (GTIG) e dal ManageEngine Threat Analysis Lab (METAL). I ricercatori hanno rilevato la campagna attraverso la telemetria EDR e hanno confermato che l’avversario si basava su finestre di manomissione effimere che duravano solo da cinque a dieci minuti. L’analisi ha anche mostrato un passaggio dell’infrastruttura dai provider cloud a domini dedicati a tema vendor e storage cloud legittimo.

Mitigazione

I fornitori dovrebbero applicare la verifica della firma crittografica end-to-end per tutti gli eseguibili scaricati e i file di configurazione. Le organizzazioni dovrebbero implementare un pinning rigoroso della destinazione per i client di aggiornamento per impedire il reindirizzamento verso domini non autorizzati. Limitare gli schemi URI all’interno dei gestori in-app può anche aiutare a prevenire attacchi di coercizione delle credenziali NTLM basati su WebDAV.

Risposta

I team di sicurezza dovrebbero condurre cacce retrospettive su endpoint e rete coprendo il periodo da aprile a luglio 2026. Dare priorità al monitoraggio dei processi figlio non firmati avviati da runner di aggiornamento legittimi e segni di reindirizzamento di rete non autorizzato. Gli analisti dovrebbero ispezionare i file di configurazione degli endpoint memorizzati localmente invece di fare affidamento esclusivamente su controlli dal vivo degli URL ospitati dai fornitori.

Esecuzione simulazione

• Narrare dell’attacco e comandi: Un avversario ha distribuito con successo un downloader CROSSROAD su una workstation tramite un compromesso della catena di fornitura (T1195.002). Per evitare che più istanze del backdoor interferiscano tra loro o causino instabilità del sistema, il malware tenta di creare un Mutex specifico. L’obiettivo dell’attaccante è stabilire un backdoor persistente (T1547) per il comando e il controllo a lungo termine (C2) e l’esfiltrazione di dati. La simulazione eseguirà uno script PowerShell che imita questo comportamento creando esattamente le stringhe di mutex globali e locali identificate nella regola di rilevamento.

• Script di test di regressione:

   # Script di simulazione Mutex CROSSROAD/SHINYROAD
    # Questo script simula la creazione dei mutex specifici mirati dalla regola di rilevamento.
  
    Write-Host "[*] Avvio della simulazione Mutex..." -ForegroundColor Cyan
  
    # 1. Simulare Mutex globale (CROSSROAD)
    try {
        $globalMutexName = "GlobalF9E6E3C0-E11A-4F85-9944-AF4AD6E05883"
        Write-Host "[!] Tentativo di creare Mutex globale: $globalMutexName" -ForegroundColor Yellow
        $globalMutex = New-Object System.Threading.Mutex($true, $globalMutexName)
        Write-Host "[+] Mutex globale creato con successo." -ForegroundColor Green
    } catch {
        Write-Error "[X] Creazione del Mutex globale non riuscita: $($_.Exception.Message)"
    }
  
    # 2. Simulare Mutex locale (SHINYROAD)
    try {
        $localMutexName = "Local963d3c60-d406-4ad6-aa1e-dc8e45061ccf"
        Write-Host "[!] Tentativo di creare Mutex locale: $localMutexName" -ForegroundColor Yellow
        $localMutex = New-Object System.Threading.Mutex($true, $localMutexName)
        Write-Host "[+] Mutex locale creato con successo." -ForegroundColor Green
    } catch {
        Write-Error "[X] Creazione del Mutex locale non riuscita: $($_.Exception.Message)"
    }
  
    Write-Host "[*] I mutex sono mantenuti per 30 secondi per garantire la cattura della telemetria..." -ForegroundColor Cyan
    Start-Sleep -Seconds 30
  
    # Pulizia (rilascio manuale è gestito dall'uscita script, ma esplicito è meglio)
    if ($globalMutex) { $globalMutex.ReleaseMutex() }
    if ($localMutex) { $localMutex.ReleaseMutex() }
  
    Write-Host "[*] Simulazione completata." -ForegroundColor Cyan

• Comandi di pulizia:

   # In caso di interruzione dello script, esegui questo per rilasciare i mutex
    # Nota: in PowerShell, se il processo muore, di solito il sistema operativo pulisce il mutex.
    # Questa è una precauzione di sicurezza per l'esecuzione della simulazione.
    Write-Host "[*] Esecuzione della pulizia..."
    # Nessun comando specifico necessario se il processo termina, ma ci assicuriamo che non ci siano handle in sospeso.