AOMEI Backupper Güncelleme Sunucularına Sızma: Tehlikeli Arka Kapı

AOMEI Backupper güvenlik saldırısı, son dönemde siber güvenlik dünyasını sarsan önemli bir tedarik zinciri vakası olarak kayıtlara geçti. Windows yedekleme ve disk klonlama yazılımı olan AOMEI Backupper’ın güncelleme sunucuları, siber saldırganlar tarafından kısa süreliğine manipüle edildi. Google Tehdit İstihbarat Grubu (GTIG), Mandiant ve ManageEngine’in Tehdit Analiz Laboratuvarı tarafından açıklanan bu saldırı, kullanıcıların bilmeden arka kapı içeren zararlı yazılımları indirmesine neden oldu. Hong Kong merkezli AOMEI Technology’nin yazılımında doğrudan bir güvenlik açığı olmamasına rağmen, güncelleme mekanizmasındaki zafiyetler büyük bir risk oluşturdu.

Güncelleme Mekanizmasındaki Kritik Zafiyet

AOMEI Backupper, kullanıcıların verilerini yedeklemesi ve diskleri klonlaması için yaygın olarak kullanılan bir araçtır. Bu yazılım, tıpkı şirketin uzaktan erişim aracı AnyViewer gibi, arka planda çalışan servisler aracılığıyla düzenli olarak AOMEI sunucularından HTTPS üzerinden güncellemeleri ve promosyonel bildirimleri kontrol eder. Bu kontrol mekanizması iki temel dosyaya dayanır: down_html.ini ve Notifycfg.ini. İlki, indirilecek güncelleme paketinin adını ve programın bu paketi doğrulamak için kullanacağı sağlama toplamını (checksum) içerir. İkincisi ise, açılır pencere hizmetine neyin görüntüleneceğini ve neyin çalıştırılacağını bildirir.

Asıl sorun tam da bu noktada ortaya çıkıyor. Program, bu iki dosyadan hiçbirini kriptografik olarak doğrulamıyor. Dahası, indirme işleminin gerçekliğini kanıtlaması beklenen sağlama toplamı, güncelleme paketini adlandıran imzasız dosyanın içinde yer alıyor. Bu durum, saldırganların sunucudaki bu metin dosyalarını sadece birkaç dakikalığına değiştirmesiyle, sistemi kandırarak zararlı bir paketi indirmesine olanak tanıdı. ManageEngine laboratuvarına göre, yazılımın kendisinde herhangi bir zafiyet istismar edilmedi. Kullanıcıların programın yüklü ve çalışır durumda olması dışında herhangi bir eylemde bulunmasına gerek kalmadan saldırı gerçekleşti. Saldırganlar için tek gereken, sunucudaki iki metin dosyasını kısa bir süre manipüle etmekti.

Dakikalar İçinde Gerçekleşen Tehdit Pencereleri

Siber saldırganlar, 2026 yılının Mayıs ve Temmuz ayları arasında, beş ila on dakikalık kısa zaman dilimlerinde AOMEI Backupper’ın kendi güncelleme sunucularından aldığı dosyaları tekrar tekrar değiştirdi. Bu kısa pencereler sırasında güncelleme kontrolü yapan herhangi bir Windows yedekleme programı kopyası, arka kapı içeren zararlı yazılımı indirip çalıştırmış oldu. GTIG ve Mandiant, üç belirli manipülasyon penceresi tespit etti ve muhtemelen daha fazla benzer olayın gerçekleşmiş olabileceğini belirtti. Tespit edilen pencereler şunlardır:

• 28 Mayıs 2026: 10 dakikalık bir aralık, TSİ 08:40 – 08:50 (UTC 05:40 – 05:50)
• 16 Temmuz 2026: 6 dakikalık bir aralık, TSİ 11:33 – 11:39 (UTC 08:33 – 08:39)
• 20 Temmuz 2026: 5 dakikalık bir aralık, TSİ 13:35 – 13:40 (UTC 10:35 – 10:40)

Sadece bu pencereler içinde güncelleme kontrolü yapan sistemler etkilendi. Bu zaman dilimlerinin öncesinde veya sonrasında kontrol yapanlar ise temiz, orijinal dosyaları aldı. Bu durum, saldırının tespitini zorlaştıran en önemli faktörlerden biriydi. GTIG, saldırının hedeflemesini “fırsatçı” olarak tanımladı; yani bu dakikalar içinde sorgulama yapan herhangi bir sistemin hedef alındığı belirtildi. Zararlı paket, Backupper’ın kendi klasörüne indirildi ve bildirim dosyası (Notifycfg.ini) aracılığıyla çalıştırıldı. Bu işlem, AOMEI sürecini başlatan ayrıcalıklarla yürütüldü. İncelenen makinelerde, bu ayrıcalıkların sistem genelinde yazılım yüklemek için yeterli olduğu gözlemlendi. Saldırının arkasındaki grubun UNC7017 olduğu takip edildi, ancak bu grubun menşei hakkında herhangi bir bilgi verilmedi.

Küresel Etki ve Hedef Kitle

Google Tehdit İstihbarat Grubu (GTIG), kendi telemetri verilerine dayanarak saldırıdan etkilenen kuruluşları 11 farklı ülkede tespit etti. Bu ülkeler arasında Avustralya, Brezilya, Hindistan, Pakistan, Portekiz, Singapur, Güney Afrika, İspanya, İsviçre, ABD ve maalesef Türkiye de bulunuyor. Etkilenen sektörler ise ağırlıklı olarak BT hizmetleri, telekomünikasyon ve yükseköğretim kurumları oldu. GTIG, toplam etkilenen sistem sayısını açıklamadı ancak gerçek rakamın muhtemelen çok daha yüksek olduğunu ifade etti. Bu durum, saldırının coğrafi yayılımının ve potansiyel mağdur sayısının düşündüğümüzden daha fazla olabileceğini gösteriyor.

Saldırının doğası gereği, yalnızca belirli kısa zaman aralıklarında güncelleme sorgulayan sistemlerin etkilenmesi, tespit mekanizmalarını aşmayı kolaylaştırdı. Bir sistem, şüpheli pencere dışında güncelleme yaptığında temiz bir sürüm indiriyordu; bu da zararlı yazılımın fark edilmeden yayılmasına olanak tanıdı. Bu durum, tedarik zinciri saldırılarının ne kadar sinsi olabileceğini ve kötü niyetli aktörlerin ne kadar küçük zaman dilimlerini bile kullanarak sistemlere sızabileceğini bir kez daha kanıtladı. Özellikle hassas veriler barındıran veya kritik altyapıya sahip bu sektörlerin hedef alınması, saldırının potansiyel sonuçlarını daha da ciddi hale getiriyor.

Saldırı Sonrası Durum ve Alınması Gereken Önlemler

AOMEI Technology, sunucularındaki güvenlik açıklarını giderdiğini ve durumu

Kullanıcıların, yedekleme yazılımları gibi kritik altyapı araçlarının bütünlüğünü düzenli olarak kontrol etmeleri gerekmektedir. Yazılım sağlayıcılarının sunduğu dijital imzalar ve kriptografik doğrulama mekanizmaları, gelecekte benzer tedarik zinciri saldırılarına karşı ilk savunma hattını oluşturur. Eğer kullandığınız bir yazılımın güncelleme mekanizması şeffaf değilse veya doğrulama adımları yeterince güçlü görünmüyorsa, riskleri göz önünde bulundurarak alternatif çözümlere yönelmek veya ek güvenlik katmanları uygulamak makul bir yaklaşım olabilir. Etkilenen kurumlardaki BT ekiplerinin ise, dahili ağlarını ve sunucularını detaylı bir şekilde inceleyerek potansiyel sızma noktalarını ve zararlı aktivite izlerini aramaları elzemdir.

Tedarik Zinciri Saldırılarının Yükselen Tehlikesi

AOMEI Backupper olayı, siber güvenlik dünyasında giderek artan tedarik zinciri saldırıları trendinin bir başka çarpıcı örneğini teşkil ediyor. Bu tür saldırılar, doğrudan son kullanıcı yazılımlarındaki zafiyetleri hedef almak yerine, yazılım dağıtım veya güncelleme altyapılarını manipüle ederek sistemlere sızmayı amaçlar. Kullanıcılar ve işletmeler, genellikle güvendikleri yazılım sağlayıcılarının güncellemelerini sorgusuzca kabul ettikleri için, bu yöntem saldırganlar için oldukça verimli bir yol haline gelir. Bir tedarik zinciri saldırısı, tek bir zafiyetle yüz binlerce, hatta milyonlarca sisteme aynı anda erişim sağlayabilir.

Bu olay, yazılım geliştiricilerin sadece kendi kodlarını değil, aynı zamanda dağıtım ve güncelleme kanallarının güvenliğini de ne kadar sıkı bir şekilde denetlemesi gerektiğini bir kez daha gösterdi. Kriptografik imzalama, sıkı erişim kontrolleri ve sürekli güvenlik denetimleri, bu tür saldırılara karşı savunmada kritik rol oynar. Son kullanıcılar için ise, yalnızca iyi bilinen ve sağlam güvenlik politikalarına sahip yazılım sağlayıcılarını tercih etmek, düzenli olarak sistemlerini taramak ve olası anormalliklere karşı tetikte olmak büyük önem taşımaktadır. AOMEI örneği, en temel ve güvenilir görünen arka plan süreçlerinin bile nasıl kötüye kullanılabileceğinin ve bu alandaki güvenlik standartlarının sürekli yükseltilmesi gerektiğinin acı bir hatırlatıcısıdır.