Serverele de actualizare AOMEI Backupper, deturnate pentru a livra un backdoor

Între mai și iulie 2026, serverele de actualizare ale AOMEI au livrat de mai multe ori, câte câteva minute, un backdoor în locul unei actualizări. Orice calculator Windows cu AOMEI Backupper care a verificat actualizările într-una dintre aceste ferestre l-a instalat automat, fără niciun clic și fără vreo vulnerabilitate în software.

Campania a fost făcută publică săptămâna aceasta de Google Threat Intelligence Group (GTIG) și Mandiant, împreună cu Threat Analysis Lab de la ManageEngine. AOMEI spune că și-a securizat serverele. Această remediere nu curăță sistemele deja compromise.

Ce s-a întâmplat

AOMEI Backupper este un program popular de backup și clonare de disc pentru Windows, dezvoltat de AOMEI Technology (Hong Kong). Serviciile sale rulează în fundal și contactează periodic serverele producătorului prin HTTPS. Acestea descarcă două fișiere de configurare:

• down_html.ini: indică pachetul de actualizare și checksum-ul așteptat.
• Notifycfg.ini: îi spune serviciului de notificări ce să afișeze și ce să execute.

Niciunul dintre fișiere nu este semnat criptografic. Checksum-ul care ar trebui să dovedească autenticitatea descărcării se află chiar în fișierul nesemnat care indică pachetul. Cine poate modifica aceste două fișiere text pe server controlează atât ce descarcă clientul, cât și ce rulează. Este o slăbiciune de design în modelul de încredere al actualizărilor, nu un bug de memorie.

Cercetătorii au confirmat trei ferestre scurte de manipulare și cred că au existat și altele:

Clienții care au verificat actualizările înainte sau după aceste ferestre au primit fișiere curate. De aceea atacul a fost greu de observat: o verificare ulterioară a site-ului producătorului nu arăta aproape niciodată ceva suspect.

Lanțul de infectare

1. Pachetul modificat ajunge în folderul Backupper, iar configurația de notificări îl lansează cu privilegiile procesului AOMEI. Pe sistemele analizate, acestea au fost suficiente pentru o instalare la nivel de sistem.
2. Un downloader numit de GTIG CROSSROAD plasează o copie autentică și semnată a Radmin, creează o sarcină programată care rulează la fiecare trei ore, apoi se șterge.
3. Executabilul Radmin semnat încarcă (side-loading) un DLL creat de atacator, care pornește implantul SHINYROAD. Acesta oferă atacatorului un shell la distanță și poate descărca și rula cod nou. Radmin nu a fost configurat ca instrument de acces la distanță; servește doar drept lansator de încredere.
4. CROSSROAD se oprește dacă sistemul pare să fie în China sau dacă detectează anumite soluții de securitate. Pe unele sisteme care au trecut de aceste verificări a fost instalat ulterior un agent Adaptix C2 deghizat în software Nitro PDF.

Fereastra din 20 iulie a adăugat un truc care nu necesita rularea vreunui program. Configurația de notificări a deschis un pop-up invizibil de un pixel, care trimitea către un fișier de pe un server WebDAV controlat de atacator. Afișarea lui poate face ca Windows să trimită răspunsul NetNTLMv2 al utilizatorului autentificat, care poate fi spart offline sau refolosit. Chiar și sistemele care au blocat backdoor-ul puteau scurge astfel credențiale.

De ce contează

• Atac oportunist, cu acoperire largă. GTIG a identificat victime din servicii IT, telecomunicații și învățământ superior în 11 țări: Australia, Brazilia, India, Pakistan, Portugalia, Singapore, Africa de Sud, Spania, Elveția, Turcia și SUA. Numărul real este probabil mai mare.
• Atribuirea rămâne deschisă. GTIG urmărește activitatea sub numele UNC7017 și nu a legat-o de vreo țară sau de vreun grup cunoscut.
• Cauza este neclară. Niciun raport nu explică cum a obținut atacatorul acces de scriere pe serverele AOMEI. ManageEngine spune că nu a confirmat independent că incidentul a fost izolat. La data de 16 octombrie, jurnalul de modificări al Backupper, până la versiunea curentă 8.5.0, nu menționează nicio schimbare în modul de verificare a actualizărilor.
• Aria de impact este incertă. Versiunile afectate nu sunt precizate (a fost analizată versiunea 8.3.0). Instrumentul de acces la distanță AnyViewer folosește același mecanism de actualizare, deși detecțiile vizează Backupper.

Ferestrele scurte și repetate ca acestea scapă analizelor punctuale. O alertă SOC verificată pe o pagină de descărcare curată ajunge să fie închisă ca fals pozitiv.

Ce trebuie făcut

Dacă ați rulat software AOMEI între aprilie și iulie 2026, porniți de la ipoteza că ați fost expuși și căutați activ urme de compromitere. Remedierea de pe server nu elimină un implant deja instalat. Downloader-ul restaurează și fișierul local de actualizare, așa că un sistem infectat poate părea normal.

Pe stațiile de lucru, căutați:

• Sarcini programate numite RadminComponentRuntime sau NitroRuntime
• Un upgrade-now.exe nesemnat cu metadatele de editor AOMEI, sau orice executabil rulat din folderul de pop-up HTML al Backupper
• Fișiere neașteptate în folderul local de date al aplicației Radmin
• Alerte mai vechi pe procese AOMEI închise ca fals pozitive. Redeschideți-le și verificați ce a fost livrat efectiv în momentul alertei.

În rețea:

• Blocați infrastructura publicată: storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com, 8.210.84[.]56, 8.218.65[.]184, 47.239.60[.]117
• Blocați traficul SMB (TCP 445) și WebDAV către internet, pentru a închide calea de scurgere NetNTLMv2
• Căutați acești indicatori în jurnalele de proxy și DNS începând din aprilie 2026

Pe termen lung:

• Păstrați fișierele din cache din folderele aplicației înainte de curățare, pentru că sunt dovezile dumneavoastră.
• Folosiți regulile YARA (GTIG) și Sigma (ManageEngine) publicate odată cu cercetarea. Testați-le mai întâi în mediul propriu.
• Până când AOMEI documentează o verificare semnată a actualizărilor, luați în calcul dezactivarea actualizărilor automate și a notificărilor din aplicație, sau limitarea accesului la internet al instrumentului.
• Includeți întrebarea „cum își verifică acest agent actualizările?” în evaluarea software-ului terț. Orice actualizator care rulează permanent face parte din lanțul dumneavoastră de aprovizionare.

Aveți nevoie de ajutor pentru a căuta aceste indicatori în infrastructura dumneavoastră sau pentru a evalua actualizatoarele terțe? Echipa 4Tify vă poate ajuta.

Raportat inițial de The Hacker News. Detaliile tehnice provin de la Google Threat Intelligence Group, Mandiant și Threat Analysis Lab de la ManageEngine.