Una ricerca di Google Threat Intelligence Group e Mandiant, diffusa da The Hacker News e analizzata nel dettaglio da ManageEngine Threat Analysis Lab, descrive un attacco alla catena di distribuzione di AOMEI Backupper, un programma di backup per Windows molto usato anche da privati e piccoli uffici. Secondo questa ricognizione, qualcuno è riuscito a sostituire per brevi finestre di tempo, tra maggio e luglio, i file che il software scarica dai server ufficiali per controllare la presenza di aggiornamenti. Chi ha avviato un controllo aggiornamenti proprio in quei minuti ha scaricato ed eseguito, senza saperlo, una backdoor.
Come ha funzionato l'attacco
Il gruppo che ha condotto l'operazione, identificato dai ricercatori con la sigla UNC7017, non ha sfruttato una falla del programma: il problema, spiegano i ricercatori, è che AOMEI Backupper non verifica con una firma digitale l'autenticità dei file scaricati, e il codice che dovrebbe controllarne l'integrità si trova nello stesso file non firmato. Bastava quindi intervenire sul server di aggiornamento per far credere al programma che il file manomesso fosse quello originale. Il malware, chiamato SHINYROAD dai ricercatori, si installa appoggiandosi a un programma legittimo di accesso remoto e resta attivo tramite un'attività pianificata del sistema. AOMEI ha confermato di aver corretto i propri server, ma questo non elimina automaticamente l'infezione dai computer già colpiti nelle finestre di tempo interessate.
Cosa conviene fare
Chi usa AOMEI Backupper, o qualsiasi altro programma di backup, farebbe bene a far controllare il computer con un antivirus aggiornato, soprattutto se gli aggiornamenti erano impostati in automatico nei mesi scorsi. Vale comunque, a prescindere da questo caso, una regola più generale: un buon backup non basta se gira su un sistema compromesso, quindi conviene conservare periodicamente una copia anche su un disco esterno scollegato dal computer, non raggiungibile da un eventuale malware. In caso di dubbi su uno o più dispositivi, un controllo in negozio permette di verificare con calma se ci sono tracce di attività sospette prima che causino danni peggiori.