Cyberangriff auf AOMEI Backupper: Schadsoftware über Updates verbreitet

Ausgangslage

Unbekannte Personen nutzten von April bis Juli 2026 die Update- und Benachrichtigungsfunktionen der Windows-Software AOMEI Backupper, um schädliche Software zu verbreiten. Die Angriffe fanden zwischen April und Juli 2026 statt und betrafen auch Schweizer Organisationen.

Die Angreifer veränderten Konfigurationsdateien auf den Servern des Softwareherstellers, sodass die Software Schadsoftware herunterlud und ausführte. Die Manipulationen erfolgten jeweils nur für wenige Minuten, um die Spuren zu verwischen.

Die Betroffenen erhielten keine offensichtlichen Hinweise auf die Manipulationen, da die Angreifer die Konfigurationsdateien nur kurz veränderten. Dies erschwert die Erkennung und Reaktion auf solche Angriffe erheblich.

Unternehmen sollten sich bewusst sein, dass selbst vertrauenswürdige Software nicht vor Manipulationen sicher ist.

Hintergrund

Die Angreifer manipulierten zwei Konfigurationsdateien, um die Software dazu zu bringen, Schadsoftware herunterzuladen. Sie änderten ebenfalls die Prüfsumme, wodurch das manipulierte Updatepaket die Dateiprüfung bestand.

Dadurch erschwerten sie den Nachweis der Angriffe.

Die Angreifer nutzen Komponenten von Radmin, einer Fernwartungssoftware, um Verbindungen zu ihren Servern herzustellen. Dies ermöglicht es den Angreifern, weitergehende Angriffe durchzuführen.

Die Angreifer nutzten die Manipulation der Konfigurationsdateien, um die Software dazu zu bringen, Schadsoftware herunterzuladen. Dies zeigt, wie wichtig es ist, die Integrität der Update-Infrastruktur zu schützen.

Einordnung für die Schweiz

Die Angriffe betrafen auch Schweizer Organisationen, wie Untersuchungen von Google Mandiant und Manageengine zeigten.

Die Angriffe betrafen auch Schweizer Organisationen, wie Untersuchungen von Google Mandiant und Manageengine zeigten.

Was das für Unternehmen bedeutet

Die Forschenden haben dazu konkrete Erkennungsmerkmale veröffentlicht, die Unternehmen, die AOMEI Backupper einsetzen, nutzen sollten, um ihre Systeme auf verdächtige Aktivitäten zu prüfen. Die Forschenden haben dazu konkrete Erkennungsmerkmale veröffentlicht.

Der Hersteller von Software, AOMEI, hat bekanntgegeben, dass er seine Server auf den neuesten Stand gebracht und dabei eventuelle Schwachstellen beseitigt hat. Die Angreifer erhielten Zugang zur Infrastruktur, doch ob AOMEI den Vorfall vollständig behoben hat, blieb zunächst ungewiss.

Ausblick

Die Sicherheitsforscher betonen, dass die Server-Sicherung keine bereits vorhandene Schadsoftware beseitigt. Firmen, welche AOMEI Backupper nutzen, müssen ihre Systeme auf verdächtige Handlungen kontrollieren.

Die Angriffe auf AOMEI Backupper könnten ein Vorbote für weitere ähnliche Angriffe sein. Unternehmen sollten sich darauf vorbereiten, indem sie ihre IT-Sicherheitsstrategien überprüfen und anpassen. Kontinuierliche Überwachung und regelmässige Sicherheitsaudits sind entscheidend, um solche Bedrohungen frühzeitig zu erkennen und zu bekämpfen.

Einordnung

Cyberangriffe auf Update-Infrastrukturen sind eine wachsende Bedrohung für Unternehmen. Die Angriffe zeigen, wie wichtig es ist, die IT-Infrastruktur kontinuierlich zu überwachen und auf verdächtige Aktivitäten zu prüfen.

Was das für KMU bedeutet

Für Schweizer KMU bedeutet dies, dass sie ihre IT-Sicherheit ernst nehmen und regelmässig überprüfen müssen. Eine kontinuierliche Überwachung der Systeme kann helfen, solche Angriffe frühzeitig zu erkennen und zu verhindern.