AOMEI Backupper: backdoor desde servidores alterados por minutos

Entre abril y julio de 2026, un actor al que Google Threat Intelligence Group (GTIG) rastrea como UNC7017 modificó varias veces los archivos de configuración en los servidores de AOMEI, fabricante de AOMEI Backupper, el software de Windows para copias de seguridad y clonación de discos que también usan empresas y servidores Windows Server. Cada manipulación duró entre 5 y 10 minutos; después, los archivos originales volvieron a su sitio. Las instalaciones que contactaron con los servidores en esas ventanas descargaron y ejecutaron un dropper y una backdoor, sin ninguna acción del usuario.

La actividad la descubrió el Threat Analysis Lab de ManageEngine (METAL) y la investigaron a fondo GTIG y Mandiant; AOMEI confirmó la manipulación a The Record.

Cómo se descubrió

El 28 de mayo, el software de seguridad de endpoints de ManageEngine registró a AOMEI Backupper instalando Radmin, una herramienta comercial de administración remota, en dos equipos de clientes distintos en países distintos; ambos entornos estaban en modo de solo registro y no se bloqueó nada. Avisada el 7 de junio, AOMEI habló de contenidos modificados en tránsito, pero para METAL los dos endpoints habían descargado los archivos por HTTPS desde dominios de AOMEI, a través de redes distintas.

Al repetir la descarga solo se obtenían archivos limpios. Tras encontrar una muestra del dropper en VirusTotal, METAL vigiló los servidores de forma continua y el 16 de julio vio la versión maliciosa en directo; el 20 de julio, GTIG y Mandiant capturaron otra ventana. Las ventanas confirmadas, según BleepingComputer, son:

• 28 de mayo, 05:40–05:50 UTC;
• 16 de julio, 08:33–08:39 UTC;
• 20 de julio, 10:35–10:40 UTC.

Sin embargo, circulan muestras relacionadas desde finales de abril, y Google considera probable que hubiera más ventanas fuera de su visibilidad.

Detalles técnicos

No se explotó ninguna vulnerabilidad de AOMEI Backupper, escribe ManageEngine: los atacantes abusaron del canal de contenidos promocionales, servicios en segundo plano que consultan periódicamente los servidores de AOMEI. Se manipularon dos archivos:

• down_html.ini (en www2.aomeisoftware.com): indica qué paquete descargar y qué checksum esperar. Los atacantes lo apuntaron a un archivo ZIP en su propia infraestructura, con un checksum coincidente, y la comprobación se superó;
• Notifycfg.ini (en account.aomeitech.com): controla las notificaciones y se configuró para abrir, en una ventana invisible, una página que lanzaba el dropper.

Según METAL, ninguno de los dos archivos está autenticado criptográficamente por el cliente, y el checksum está en el mismo archivo no autenticado que indica el paquete. Help Net Security informa de que la actividad afecta a la versión 8.3.0 y posteriores.

El dropper CROSSROAD se detenía si el equipo parecía estar en China, si no lograba determinar su ubicación o si encontraba ciertos productos de seguridad. Si no, instalaba Radmin Server auténtico junto con una DLL maliciosa cargada a través de él, la backdoor modular SHINYROAD, que abre una conexión TCP inversa hacia el servidor de mando y control; después creaba una tarea programada que la reinicia cada tres horas y se borraba. Según SecurityWeek, en julio también se distribuyó AdaptAgent, del framework de posexplotación Adaptix C2.

El 20 de julio, Google observó una segunda técnica: una ventana de 1×1 píxeles obligaba al cliente a pedir un recurso WebDAV a un servidor de los atacantes, enviando el hash NetNTLMv2 del usuario conectado. No hace falta ejecutar código, así que también los equipos en los que el dropper estaba bloqueado pueden haber expuesto credenciales.

Entre los indicadores públicos citados por BleepingComputer: 8.210.84[.]56, serv.oss-cn-hongkong[.]aliyuncs.com, nombres bajo storage-data[.]com y el endpoint legítimo storage.googleapis.com. Las listas completas están en los informes de GTIG y ManageEngine.

En nuestra lectura, las técnicas MITRE ATT&CK pertinentes son T1195.002 (Compromise Software Supply Chain), T1053.005 (Scheduled Task), T1219 (Remote Access Tools), T1574 (Hijack Execution Flow), T1187 (Forced Authentication) y T1070.004 (File Deletion).

Víctimas y respuesta de AOMEI

Google identificó y avisó a víctimas de servicios TI, telecomunicaciones y educación superior en once países, entre ellos España, Portugal y Suiza. La campaña afectaba a cualquiera que buscara actualizaciones durante las ventanas, por lo que probablemente hay más víctimas. UNC7017 no está vinculado a ningún país ni grupo conocido, y la exclusión de China no indica dónde están los atacantes.

Mandiant avisó a AOMEI el 17 de julio; el 29 de julio la empresa comunicó que había tomado medidas correctivas. AOMEI dijo a The Record que todavía no había identificado ni avisado a los clientes afectados y que había publicado una herramienta gratuita de detección. No se sabe cómo entraron los atacantes, y ManageEngine no ha verificado de forma independiente que hayan perdido el acceso. Según ManageEngine, el informe de Google documenta también ataques a AnyViewer, el escritorio remoto de AOMEI; la empresa sostiene que solo Backupper mostró anomalías.

Impacto para las empresas europeas e italianas

No se han citado víctimas italianas, pero la distribución fue indiscriminada. El software de copia de seguridad funciona con privilegios elevados, lee todos los datos y contacta con su fabricante con regularidad: una cobertura ideal. Para las entidades sujetas a NIS2 es un caso de seguridad de la cadena de suministro; un compromiso confirmado debe valorarse también para la notificación, teniendo en cuenta que un hash NetNTLMv2 robado puede servir para ataques posteriores a las credenciales.

Qué hacer ya

1. Haz inventario de AOMEI Backupper (y AnyViewer) en puestos de trabajo y servidores, con sus versiones.
2. Busca indicios de compromiso en todo el periodo de abril a julio, no solo en las tres ventanas: Radmin Server no instalado por TI, tareas programadas desconocidas cada tres horas, ejecutables inesperados en las carpetas de AOMEI, conexiones hacia los indicadores publicados.
3. Revisa el tráfico WebDAV/SMB hacia internet, sobre todo el 20 de julio: si lo hay, considera expuestos los hashes de los usuarios conectados y cambia sus contraseñas. Bloquear la salida de SMB y WebDAV hacia internet reduce el riesgo.
4. Actualiza el software y usa la herramienta de detección de AOMEI: la corrección en el servidor no limpia los equipos ya infectados.
5. Si encuentras un compromiso, aísla el equipo, inicia la respuesta al incidente y reinstálalo.

Cómo ayuda ARXDOME

El agente de ARX Sentry recoge el inventario de software, procesos y puertos de equipos y servidores Windows: te ayuda a encontrar rápido los equipos con AOMEI Backupper o Radmin. Con ARX Trace puedes lanzar búsquedas en muchos equipos a la vez para localizar tareas programadas y archivos sospechosos, y ARX Shield te permite aislar de la red un equipo comprometido hasta su limpieza.

Última actualización: 20 de octubre de 2026