Überprüfen Sie alle Systeme, auf denen AOMEI Backupper installiert ist, auf das Vorhandensein des CrossRoad-Downloaders und der ShinyRoad-Backdoor.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
- Lieferketten-Kompromittierung — Thema: supply chain, supply-chain | Ereignisbeleg: been compromised, targeted+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
Woraus sich die Konfidenz ergibt
- 3 unabhaengige Herausgeber berichten den Sachverhalt
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
AOMEI Backupper Compromised in Short-Burst Supply Chain Campaign
Zwischen April und Juli wurde die Software AOMEI Backupper mehrfach durch kurzzeitige Manipulationen kompromittiert, wodurch Nutzer Malware erhielten. Betroffen sind Millionen von Anwendern weltweit, insbesondere aus den Bereichen Hochschulbildung, IT-Dienstleistungen und Telekommunikation in verschiedenen Ländern. Nutzer sollten ihre Systeme auf die CrossRoad-Downloader und ShinyRoad-Backdoor überprüfen und die Software auf die neueste, sichere Version aktualisieren.
SecBoard-Einordnung
Organisationen in den genannten Sektoren, die AOMEI Backupper nutzen, könnten unbemerkt Malware (CrossRoad-Downloader und ShinyRoad-Backdoor) in ihre Systeme eingeschleust bekommen haben, was zu weiteren Kompromittierungen führen kann.
Realistisch schlimmster Fall: Ein Angreifer könnte über die ShinyRoad-Backdoor dauerhaften Zugriff auf kompromittierte Systeme erhalten, sensible Daten exfiltrieren oder weitere schädliche Payloads bereitstellen, was zu weitreichenden Systemausfällen oder Datenverlust führen könnte.
Empfehlung: Überprüfen Sie alle Systeme, auf denen AOMEI Backupper installiert ist, auf das Vorhandensein des CrossRoad-Downloaders und der ShinyRoad-Backdoor. Aktualisieren Sie AOMEI Backupper sofort auf die neueste, sichere Version.
Betroffen
Millionen von Nutzern weltweit, insbesondere aus den Bereichen Hochschulbildung, IT-Dienstleistungen und Telekommunikation, die AOMEI Backupper verwenden und Updates zwischen April und Juli heruntergeladen haben.
Prüfen
3- ▸Überprüfen Sie System-Logs und Netzwerkverkehr auf Indikatoren für den CrossRoad-Downloader und die ShinyRoad-Backdoor.
- ▸Stellen Sie sicher, dass alle Instanzen von AOMEI Backupper auf die neueste, sichere Version aktualisiert wurden.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine vollständige Systemprüfung mit aktuellen Antiviren- und EDR-Lösungen auf allen betroffenen Endpunkten durch.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genauen Zeitfenster der Kompromittierung (5-10 Minuten) sind nicht detailliert angegeben.
- ▸Spezifische Länder, die von den Angriffen betroffen sind, werden nicht genannt.
- ▸Die genaue Funktionsweise oder die spezifischen C2-Kanäle des CrossRoad-Downloaders und der ShinyRoad-Backdoor sind nicht detailliert beschrieben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Initial Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Zwischen April und Juli wurde die Software AOMEI Backupper mehrfach durch kurzzeitige Manipulationen kompromittiert, wodurch Nutzer Malware erhielten.“
„CrossRoad-Downloader“
„ShinyRoad-Backdoor“
„ShinyRoad-Backdoor“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- SecurityWeekKontextRank Math PRO WordPress Plugin Compromised in Supply Chain Attack
- BleepingComputerKontextWordPress SEO plugin Rank Math compromised to backdoor websites
- The Hacker NewsKontextLiteLLM Compromised in Supply Chain Attack Delivering Credential Stealer and Backdoor
Der Vorgang wird seit 2 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap