AOMEI Backupper: backdoor dai server manomessi per pochi minuti

Tra aprile e luglio 2026 un attore che Google Threat Intelligence Group (GTIG) traccia come UNC7017 ha modificato più volte i file di configurazione sui server di AOMEI, produttore di AOMEI Backupper, il software Windows di backup e clonazione dei dischi usato anche da aziende e su Windows Server. Ogni manomissione è durata dai 5 ai 10 minuti, poi i file originali sono tornati al loro posto. Le installazioni che hanno contattato i server in quelle finestre hanno scaricato ed eseguito un dropper e una backdoor, senza alcuna azione dell’utente.

L’attività è stata scoperta dal Threat Analysis Lab di ManageEngine (METAL) e approfondita da GTIG e Mandiant; AOMEI ha confermato la manomissione a The Record.

Come è stata scoperta

Il 28 maggio il software di sicurezza degli endpoint di ManageEngine ha registrato AOMEI Backupper mentre installava Radmin, uno strumento commerciale di amministrazione remota, su due macchine di clienti diversi in paesi diversi; gli ambienti erano in sola registrazione e nulla è stato bloccato. Avvisata il 7 giugno, AOMEI ha parlato di contenuti modificati durante il transito, ma per METAL i due endpoint avevano scaricato i file in HTTPS da domini di AOMEI, da reti diverse.

Ripetendo il download si ottenevano solo file puliti. Trovato un campione del dropper su VirusTotal, METAL ha sorvegliato i server in continuo e il 16 luglio ha visto la versione malevola in diretta; il 20 luglio un’altra finestra è stata catturata da GTIG e Mandiant. Le finestre confermate, secondo BleepingComputer, sono:

• 28 maggio, 05:40–05:50 UTC;
• 16 luglio, 08:33–08:39 UTC;
• 20 luglio, 10:35–10:40 UTC.

Campioni collegati circolano però da fine aprile, e Google ritiene probabili altre finestre rimaste fuori dalla sua visibilità.

Dettagli tecnici

Nessuna vulnerabilità di AOMEI Backupper è stata sfruttata, scrive ManageEngine: gli attaccanti hanno usato il canale dei contenuti promozionali, servizi in background che interrogano periodicamente i server di AOMEI. I file manomessi sono due:

• down_html.ini (su www2.aomeisoftware.com): indica quale pacchetto scaricare e quale checksum aspettarsi. Gli attaccanti lo hanno puntato a un archivio ZIP su server loro, con un checksum corrispondente, e il controllo è stato superato;
• Notifycfg.ini (su account.aomeitech.com): governa le notifiche ed è stato impostato per aprire, in una finestra invisibile, una pagina che avviava il dropper.

Secondo METAL nessuno dei due file è autenticato crittograficamente dal client, e il checksum sta nello stesso file non autenticato che indica l’archivio. Help Net Security riporta che l’attività riguarda la versione 8.3.0 e successive.

Il dropper CROSSROAD si fermava se la macchina risultava in Cina, se non ne determinava la posizione o se trovava certi prodotti di sicurezza. Altrimenti installava Radmin Server autentico con una DLL malevola caricata attraverso di lui, la backdoor modulare SHINYROAD, che apre una connessione TCP inversa verso il server di comando e controllo; creava un’attività pianificata che la riavvia ogni tre ore e si cancellava. Secondo SecurityWeek, a luglio è arrivato anche AdaptAgent, del framework di post-sfruttamento Adaptix C2.

Il 20 luglio Google ha osservato una seconda tecnica: una finestra di 1×1 pixel costringeva il client a chiedere una risorsa WebDAV a un server degli attaccanti, inviando l’hash NetNTLMv2 dell’utente collegato. Non serve eseguire codice, quindi anche le macchine su cui il dropper era bloccato possono aver esposto credenziali.

Tra gli indicatori pubblici citati da BleepingComputer: 8.210.84[.]56, serv.oss-cn-hongkong[.]aliyuncs.com, nomi sotto storage-data[.]com e l’endpoint legittimo storage.googleapis.com. Gli elenchi completi sono nei rapporti di GTIG e ManageEngine.

Nella nostra lettura le tecniche MITRE ATT&CK pertinenti sono T1195.002 (Compromise Software Supply Chain), T1053.005 (Scheduled Task), T1219 (Remote Access Tools), T1574 (Hijack Execution Flow), T1187 (Forced Authentication) e T1070.004 (File Deletion).

Vittime e risposta di AOMEI

Google ha individuato e avvisato vittime nei servizi IT, nelle telecomunicazioni e nell’università in undici paesi, tra cui Spagna, Portogallo e Svizzera. La campagna colpiva chiunque controllasse gli aggiornamenti nelle finestre, quindi le vittime sono probabilmente di più. UNC7017 non è collegato a paesi o gruppi noti, e l’esclusione della Cina non dice dove si trovino gli attaccanti.

Mandiant ha avvisato AOMEI il 17 luglio; il 29 luglio l’azienda ha comunicato di aver preso misure correttive. A The Record AOMEI ha detto di non aver ancora individuato né avvisato i clienti colpiti e di aver rilasciato uno strumento gratuito di rilevamento. Come gli attaccanti siano entrati non è noto, e ManageEngine non ha verificato in modo indipendente che abbiano perso l’accesso. Secondo ManageEngine il rapporto di Google documenta anche attacchi ad AnyViewer, il desktop remoto di AOMEI; l’azienda sostiene che solo Backupper abbia mostrato anomalie.

Impatto per le aziende europee e italiane

Non sono state citate vittime italiane, ma la distribuzione era indiscriminata. Il software di backup gira con privilegi elevati, legge tutti i dati e contatta il fornitore a intervalli regolari: una copertura ideale. Per i soggetti NIS2 è un caso di sicurezza della catena di fornitura; una compromissione accertata va valutata anche per la notifica, tenendo conto che un hash NetNTLMv2 sottratto può servire per attacchi successivi alle credenziali.

Cosa fare subito

1. Fai l’inventario di AOMEI Backupper (e AnyViewer) su postazioni e server, con le versioni.
2. Cerca i segni di compromissione per tutto il periodo aprile–luglio, non solo nelle tre finestre: Radmin Server non installato dall’IT, attività pianificate sconosciute ogni tre ore, eseguibili inattesi nelle cartelle di AOMEI, connessioni verso gli indicatori pubblicati.
3. Controlla il traffico WebDAV/SMB verso internet, soprattutto il 20 luglio: se c’è, considera esposti gli hash degli utenti collegati e cambia le loro password. Bloccare in uscita SMB e WebDAV verso internet riduce il rischio.
4. Aggiorna il software e usa lo strumento di rilevamento di AOMEI: la correzione lato server non ripulisce le macchine già infette.
5. Se trovi una compromissione, isola la macchina, avvia la risposta all’incidente e reinstalla.

Come aiuta ARXDOME

L’agent di ARX Sentry raccoglie l’inventario di software, processi e porte di computer e server Windows: aiuta a trovare in fretta le macchine con AOMEI Backupper o Radmin. Con ARX Trace si lanciano ricerche su più macchine per attività pianificate e file sospetti, e ARX Shield consente di isolare dalla rete una macchina compromessa in attesa della bonifica.

Ultimo aggiornamento: 20 ottobre 2026