Google Cloud Blog · Mandiant, Google Threat Intelligence Group ·
Investigating Ephemeral Supply Chain Tampering
GTIG y Mandiant atribuyen a UNC7017 una campaña que comprometió la distribución de actualizaciones de AOMEI mediante cambios maliciosos en archivos de configuración, activos solo durante ventanas de cinco a diez minutos. Los equipos que consultaban el servicio en esos intervalos podían recibir CROSSROAD y SHINYROAD, mientras que una configuración de notificaciones también podía forzar la autenticación NTLM mediante WebDAV; el grupo empleó además herramientas legítimas modificadas y Adaptix para mantener el acceso. El informe detalla la cadena de ataque, sus indicadores y técnicas de detección, y recomienda buscar actividad en los equipos afectados incluso después de que AOMEI corrigiera sus servidores.
GTIG and Mandiant uncovered a supply chain attack targeting AOMEI Technology's update infrastructure, where attackers used short-burst configuration tampering on origin servers to deploy tools like the SHINYROAD trojan.