AOMEI Backupper: هجوم دقائق يزرع أبواباً خلفية في 11 دولة

مقدمة تحليلية

تلاعب مهاجمون بخوادم تحديث AOMEI Backupper، وهو برنامج النسخ الاحتياطي للأقراص لنظام Windows من شركة AOMEI Technology المسجلة في هونغ كونغ، لدقائق معدودة بين مايو ويوليو 2026. سمح هذا التلاعب بزرع أبواب خلفية في أي نسخة من البرنامج تتحقق من التحديثات خلال تلك الفترات الزمنية القصيرة. أكدت Google Threat Intelligence Group (GTIG) وMandiant ثلاث فترات تلاعب محددة:

• 28 مايو 2026: 10 دقائق (05:40 إلى 05:50 بالتوقيت العالمي المنسق).
• 16 يوليو 2026: 6 دقائق (08:33 إلى 08:39 بالتوقيت العالمي المنسق).
• 20 يوليو 2026: 5 دقائق (10:35 إلى 10:40 بالتوقيت العالمي المنسق).

أثرت هذه الهجمات على مؤسسات في قطاعات خدمات تكنولوجيا المعلومات والاتصالات السلكية واللاسلكية والتعليم العالي عبر 11 دولة، منها أستراليا والبرازيل والهند وباكستان والبرتغال وسنغافورة وجنوب إفريقيا وإسبانيا وسويسرا وتركيا والولايات المتحدة. على الرغم من إعلان AOMEI إصلاح خوادمها، إلا أن هذا الإصلاح لا يزيل الباب الخلفي من الأجهزة المخترقة بالفعل، مما يشير إلى تعقيد التداعيات المباشرة.

التحليل التقني

لم يستغل المهاجمون أي ثغرة أمنية في برنامج AOMEI Backupper نفسه؛ بل تمحور الهجوم حول تغيير ملفي نص عادي على خوادم AOMEI مباشرة. يعتمد برنامج Backupper، وكذلك أداة AnyViewer للتحكم عن بُعد من AOMEI، على فحص دوري لخوادم الشركة عبر HTTPS للحصول على التحديثات والإشعارات الترويجية. يقود هذه العملية ملفان رئيسيان: `down_html.ini`، الذي يحدد حزمة التحديث المراد تنزيلها ومجموع التحقق (checksum) للتحقق منها، و`Notifycfg.ini`، الذي يخبر خدمة الإشعارات بما يجب عرضه وتشغيله. لا يقوم البرنامج بالتحقق التشفيري لأي من هذين الملفين، ويكمن مجموع التحقق الذي من المفترض أن يثبت صحة التنزيل داخل ملف `down_html.ini` نفسه غير الموقع رقمياً. هذه ثغرة معمارية حرجة سمحت للمهاجمين بتغيير المحتوى لدقائق معدودة.

عندما تحقق نسخة من Backupper خلال إحدى نوافذ الهجوم، قام بسحب حزمة المهاجم إلى مجلده الخاص، ثم قام ملف الإشعارات بتشغيلها. تم تشغيل الحمولة بنفس امتيازات عملية AOMEI التي أطلقتها، وهو ما كان كافياً لتثبيت برامج عبر النظام بأكمله على الأجهزة التي فحصتها ManageEngine's Threat Analysis Lab.

مراحل الحمولة والتحايل

على الجهاز المخترق، قام برنامج التنزيل الذي أطلق عليه GTIG اسم CROSSROAD بفك حزمة في مجلد Radmin محلي. هذه الحزمة تضمنت نسخة أصلية وموقعة من Radmin، وهي أداة تجارية للإدارة عن بعد، ولكنها لم تُنشط مباشرة. بدلاً من ذلك، قام CROSSROAD بإنشاء مهمة مجدولة باسم `RadminComponentRuntime` (أو `NitroRuntime` للأداة اللاحقة) لتعمل كل ثلاث ساعات، ثم حذف نفسه من القرص. تعمل المهمة المجدولة على تشغيل برنامج Radmin الموقّع، الذي يقوم بتحميل مكتبة DLL مبنية من قِبل المهاجم موضوعة بجانبه، والتي بدورها تقوم بتحميل زرع SHINYROAD. يوفر هذا الزرع واجهة سطر أوامر عن بعد (remote shell) ويمكنه جلب وتشغيل تعليمات برمجية جديدة بناءً على الأوامر، ويتصل بعنوان واحد مبرمج بشكل ثابت. يظهر CROSSROAD أيضاً تحكماً في التنفيذ، حيث يتوقف عن العمل إذا كان الجهاز في الصين أو إذا اكتشف وكلاء أمان معينين على المضيف. على الأجهزة التي اجتازت هذه الفحوصات، لاحظت GTIG لاحقاً نشر أداة ثانية فوق SHINYROAD، وهي إطار عمل Adaptix C2 مفتوح المصدر، متنكراً في شكل برنامج Nitro PDF.

شملت نافذة الهجوم بتاريخ 20 يوليو حيلة ثانية لم تتطلب تشغيل أي برنامج. وجدت GTIG أن ملف الإشعارات `Notifycfg.ini` قد تم تغييره لفتح نافذة منبثقة غير مرئية بحجم بكسل واحد تشير إلى ملف على خادم المهاجم عبر WebDAV. يمكن أن يؤدي عرض هذه النافذة المنبثقة إلى إرسال Windows استجابة مصادقة NetNTLMv2 للمستخدم المسجل دخوله، وهي رمز يمكن للمهاجم محاولة فكه دون اتصال أو إعادة استخدامه، إلى عنوان المهاجم دون أي شيء مرئي للمستخدم. نظراً لعدم الحاجة إلى تشغيل برنامج، فإن الجهاز الذي تم حظر الباب الخلفي فيه كان لا يزال من الممكن أن يسرب هذا الرمز.

السياق وتأثير السوق

تضع حادثة AOMEI Backupper معياراً جديداً في هجمات سلسلة التوريد المعتمدة على عنصر الوقت، وتختلف بشكل صارخ عن الاختراقات التقليدية التي تعتمد على استغلال الثغرات البرمجية. وصفت GTIG هذا الهجوم بأنه أول اختراق لسلسلة توريد على Windows بهذا القصر، حيث يتهرب بفعالية من الفرز التقليدي عند نقطة زمنية محددة والمسح الآلي للملفات. هذا النوع من الهجمات يتجاوز معظم آليات الكشف التقليدية التي تعتمد على وجود دائم للمحتوى الضار على الخادم أو على فحص عميق للتعليمات البرمجية.

على عكس المعايير الصناعية لآليات التحديث الآمنة، التي تتطلب توقيعات تشفير قوية لبيانات التحديث وحزمها (كما هو الحال في أنظمة التشغيل الرئيسية مثل Windows وmacOS وتوزيعات Linux التي تستخدم حزمًا وبيانات وصفية موقّعة)، فإن اعتماد AOMEI على ملفات `.ini` نصية غير موقّعة ومجموع تحقق ذاتي داخلي يمثل قصوراً أساسياً في تصميم الأمان. هذا التفاوت الجوهري في البروتوكولات الأمنية يجعل AOMEI متخلفة بشكل واضح عن أفضل الممارسات المعروفة في أمان سلسلة التوريد الرقمية، حيث تعتبر حماية وتوقيع تحديثات البرامج ركيزة أساسية لمنع مثل هذه السيناريوهات.

أبلغت ManageEngine's Threat Analysis Lab AOMEI عن النشاط في 7 يونيو، بعد أن اكتشف برنامجها تثبيت Radmin على عميلين في 28 مايو 2026. على الرغم من ذلك، أبلغت AOMEI شركة Mandiant في 29 يوليو أنها اتخذت إجراءات تصحيحية لتأمين خوادمها، إلا أن هذا الإجراء لم يزيل الأبواب الخلفية من الأجهزة المخترقة. لم يذكر تقرير التغييرات الخاص بـAOMEI لبرنامج Backupper، الذي تم التحقق منه من قِبل The Hacker News في 16 أكتوبر، أي تغييرات على كيفية التحقق من التحديثات حتى الإصدار الحالي 8.5.0 بتاريخ 9 أكتوبر، مما يشير إلى أن الفجوة الأمنية الأساسية قد تظل قائمة. لا يمكن للمؤسسات التي تشغل برامج AOMEI الافتراض أنها محمية لمجرد أن البائع اتخذ إجراءات تصحيحية من جانب الخادم، حيث يجب عليهم البحث بشكل فعال عن الاختراقات التي حدثت في الفترة من أبريل إلى يوليو.