AOMEI Backupper Güncelleme Sunucuları Hedef Alındı

AOMEI Backupper, kullanıcılarının güncellemeleri kontrol ettiği sırada arka kapı yazılımı indirerek hedef alındı. Saldırganlar, 2026 yılının Mayıs ve Temmuz ayları arasında, AOMEI'nin güncelleme sunucularındaki dosyaları birkaç dakika içinde değiştirerek kötü amaçlı yazılımları yaydı. Bu süreçte, güncelleme kontrolü yapan kullanıcılar, AOMEI'nin sunucularından indirdikleri dosyalar aracılığıyla saldırganların yazılımını çalıştırdı.

AOMEI Backupper Nedir?

AOMEI Backupper, AOMEI Technology tarafından geliştirilen bir Windows yedekleme ve disk klonlama yazılımıdır. Bu yazılım, güncellemeleri kontrol etmek için arka planda çalışarak AOMEI'nin sunucularına düzenli olarak bağlanır. Ancak, bu süreçte yazılımın güncelleme paketinin doğruluğunu kontrol eden dosyalar yeterince güvenli değildi. Yazılım, iki dosya aracılığıyla güncellemeleri kontrol ediyordu:

• down_html.ini: İndirilecek güncelleme paketinin adını ve kontrol değerini içerir.
• Notifycfg.ini: Pop-up hizmetinin neyi görüntülemesi gerektiğini belirtir.

Saldırının Detayları

Saldırganlar, AOMEI'nin sunucularındaki bu iki dosyayı hedef alarak, sadece birkaç dakika içinde değişiklikler yaptı. Bu değişiklikler, kullanıcıların güncellemeleri kontrol ettiği sırada, sahte güncelleme paketinin indirilmesine neden oldu. Bu süreçte, kullanıcıların herhangi bir eylemde bulunmasına gerek kalmadan, yazılımın arka kapısı sistemlerine yerleşti.

GTIG ve Mandiant, bu saldırının üç farklı zaman diliminde gerçekleştiğini doğruladı. Bu zaman dilimleri şunlardır:

• 28 Mayıs 2026: 10 dakikalık pencere
• 16 Temmuz 2026: 6 dakikalık pencere
• 20 Temmuz 2026: 5 dakikalık pencere

Sadece bu zaman dilimlerinde güncellemeleri kontrol eden kullanıcılar etkilendi. Diğer zamanlarda kontrol yapan kullanıcılar ise temiz dosyalar indirdi. Bu durum, saldırının tespit edilmesini zorlaştırdı.

Etkileri ve Önlemler

GTIG, saldırının etkilediği kuruluşların, IT hizmetleri, telekomünikasyon ve yükseköğretim alanlarında olduğunu belirtti. Türkiye de bu etkilenen ülkeler arasında yer alıyor. AOMEI, sunucularını düzeltme işlemi gerçekleştirdiğini bildirmiş olsa da, daha önce saldırıya uğramış makinelerdeki arka kapıyı temizleyemiyor.

AOMEI'nin kullanıcıları, yazılımlarının güvenliği konusunda tedbirli olmalı ve bu dönemde güncellemeleri kontrol eden tüm sistemlerini incelemelidir. GTIG ve Mandiant, kullanıcıların AOMEI yazılımlarını yalnızca sunucu düzeltmelerine dayanarak güvende hissetmemeleri gerektiğini vurguladı. Ayrıca, kullanıcıların geçmişte hangi dosyaların indirildiğini kontrol etmeleri ve güvenlik önlemlerini artırmaları öneriliyor.

Sonuç

AOMEI Backupper kullanıcıları, güncellemeleri kontrol ettikleri sırada arka kapı yazılımı ile saldırıya uğradı. AOMEI, sunucularını düzeltmesine rağmen, etkilenmiş makinelerdeki tehlikeyi ortadan kaldıramadı. Kullanıcıların bu süreçte dikkatli olmaları ve yazılımlarının güvenliğini sağlamak için gerekli önlemleri almaları büyük önem taşıyor.