AOMEI Sunucu Saldırısı: Kötü Amaçlı Yazılım Dağıtımı

AOMEI'nin sunucularının siber saldırganlar tarafından ele geçirilmesi, kullanıcıların veri güvenliğini tehdit eden bir duruma yol açtı. Bu saldırılar, AOMEI Backupper yazılımının güncelleme ve bildirim sistemlerini hedef alarak, kötü amaçlı yazılımların dağıtımına olanak sağladı. Saldırılar, Nisan ile Temmuz 2026 arasında gerçekleşti ve bu süreçte saldırganlar, yazılımın yapılandırma dosyalarını geçici olarak değiştirdi.

Saldırıların Ayrıntıları

Saldırılar, AOMEI Backupper uygulamasının güncelleme ve bildirim sistemlerini etkileyerek, kullanıcıların bilgisayarlarına kötü amaçlı yazılımları indirmelerine neden oldu. Araştırmalar, ManageEngine'in Tehdit Analiz Laboratuvarı (METAL) ve Google'ın Tehdit İstihbarat Grubu (GTIG) ile birlikte yürütüldü. Bu kampanyanın arkasında, UNC7017 olarak bilinen bir tehdit aktörünün olduğu tespit edildi.

Kötü Amaçlı Yazılımlar

Saldırganlar, CROSSROAD adında daha önce bilinmeyen bir kötü amaçlı yazılım indiricisi ve SHINYROAD isimli bir arka kapı yazılımı dağıttı. Bu yazılımlar, etkilenen bilgisayarlarda kalıcılık sağlamak için zamanlanmış görevler kullanarak, ek bileşenler indirdi ve uzaktan kontrol imkanı sağladı.

Etkilenmiş Ülkeler ve Sektörler

Araştırmacılar, ABD, Avustralya, Hindistan, Singapur, İspanya ve İsviçre gibi birçok ülkede etkilenen kuruluşları tespit etti. Bu kuruluşlar, bilişim hizmetleri, telekomünikasyon ve yükseköğretim gibi çeşitli sektörlerde faaliyet gösteriyordu. Google, bu saldırıların fırsatçı olduğunu ve yazılım güncellemeleri kontrol eden diğer kuruluşları da etkileyebileceğini belirtti.

Saldırının Tespit Edilmesi

Saldırılar, 28 Mayıs'ta AOMEI Backupper'ın iki farklı ülkedeki bağımsız şirketlerde Radmin isimli uzaktan yönetim aracını kurmasıyla tespit edildi. Araştırmacılar, AOMEI'nin sunucularının kötü amaçlı içerik sunduğunu doğruladı. Saldırganlar, yapılandırma dosyalarını geçici olarak değiştirerek, kötü amaçlı ZIP arşivlerini indirmeye yönlendirdi.

Önlem ve Sonuç

AOMEI, saldırıyı tespit ettikten sonra sunucularını güncelledi ve potansiyel zafiyetleri yamanarak, dosyaların doğruluğunu kontrol etti. Ancak, ManageEngine, sunucu tarafında yapılan düzeltmelerin, daha önce kurulum yapılmış kötü amaçlı yazılımları temizlemeyeceğini vurguladı. AOMEI kullanıcılarının, belirtilen tehlike işaretlerini incelemeleri ve gerekli önlemleri almaları öneriliyor.

Ne anlama geliyor? Bu olay, AOMEI kullanıcılarının veri güvenliğine dikkat etmeleri gerektiğini ve yazılımlarını düzenli olarak güncellemeleri gerektiğini ortaya koyuyor. Siber güvenlik tehditleri her zaman var ve kullanıcıların dikkatli olması hayati önem taşıyor.