AOMEI Backupper: backdoor de pe servere manipulate câteva minute

Între aprilie și iulie 2026, un actor pe care Google Threat Intelligence Group (GTIG) îl urmărește sub numele UNC7017 a modificat de mai multe ori fișierele de configurare de pe serverele AOMEI, producătorul AOMEI Backupper, software-ul Windows de backup și clonare a discurilor folosit și de companii și pe Windows Server. Fiecare manipulare a durat între 5 și 10 minute, după care fișierele originale au fost puse la loc. Instalările care au contactat serverele în aceste ferestre au descărcat și au rulat un dropper și un backdoor, fără nicio acțiune din partea utilizatorului.

Activitatea a fost descoperită de Threat Analysis Lab al ManageEngine (METAL) și investigată în detaliu de GTIG și Mandiant; AOMEI a confirmat manipularea pentru The Record.

Cum a fost descoperită

Pe 28 mai, software-ul de securitate a endpointurilor de la ManageEngine a înregistrat AOMEI Backupper în timp ce instala Radmin, un instrument comercial de administrare la distanță, pe două mașini ale unor clienți diferiți din țări diferite; ambele medii erau doar în mod de înregistrare și nimic nu a fost blocat. Anunțată pe 7 iunie, AOMEI a vorbit despre conținut modificat în tranzit, dar pentru METAL cele două endpointuri descărcaseră fișierele prin HTTPS de pe domenii AOMEI, prin rețele diferite.

Repetarea descărcării aducea doar fișiere curate. După ce a găsit o mostră a dropperului pe VirusTotal, METAL a supravegheat serverele continuu și pe 16 iulie a văzut versiunea malițioasă în direct; pe 20 iulie, GTIG și Mandiant au capturat o altă fereastră. Ferestrele confirmate, potrivit BleepingComputer, sunt:

• 28 mai, 05:40–05:50 UTC;
• 16 iulie, 08:33–08:39 UTC;
• 20 iulie, 10:35–10:40 UTC.

Totuși, mostre asociate circulă de la sfârșitul lui aprilie, iar Google consideră probabil că au existat și alte ferestre rămase în afara vizibilității sale.

Detalii tehnice

Nicio vulnerabilitate din AOMEI Backupper nu a fost exploatată, scrie ManageEngine: atacatorii au abuzat de canalul de conținut promoțional, servicii în fundal care interoghează periodic serverele AOMEI. Au fost manipulate două fișiere:

• down_html.ini (pe www2.aomeisoftware.com): indică ce pachet trebuie descărcat și ce checksum este așteptat. Atacatorii l-au îndreptat spre o arhivă ZIP pe propria infrastructură, cu un checksum potrivit, iar verificarea a trecut;
• Notifycfg.ini (pe account.aomeitech.com): controlează notificările și a fost setat să deschidă, într-o fereastră invizibilă, o pagină care lansa dropperul.

Potrivit METAL, niciunul dintre fișiere nu este autentificat criptografic de client, iar checksumul se află în același fișier neautentificat care indică arhiva. Help Net Security relatează că activitatea privește versiunea 8.3.0 și ulterioare.

Dropperul CROSSROAD se oprea dacă mașina părea să fie în China, dacă nu îi putea determina locația sau dacă găsea anumite produse de securitate. Altfel, instala Radmin Server autentic împreună cu o DLL malițioasă încărcată prin el, backdoorul modular SHINYROAD, care deschide o conexiune TCP inversă spre serverul de comandă și control; apoi crea o sarcină programată care îl repornește la fiecare trei ore și se ștergea. Potrivit SecurityWeek, în iulie a fost livrat și AdaptAgent, din frameworkul de post-exploatare Adaptix C2.

Pe 20 iulie, Google a observat o a doua tehnică: o fereastră de 1×1 pixeli forța clientul să ceară o resursă WebDAV de la un server al atacatorilor, trimițând hashul NetNTLMv2 al utilizatorului conectat. Nu este nevoie să ruleze cod, deci și mașinile pe care dropperul era blocat pot să fi expus credențiale.

Printre indicatorii publici citați de BleepingComputer: 8.210.84[.]56, serv.oss-cn-hongkong[.]aliyuncs.com, nume sub storage-data[.]com și endpointul legitim storage.googleapis.com. Listele complete se află în rapoartele GTIG și ManageEngine.

În lectura noastră, tehnicile MITRE ATT&CK relevante sunt T1195.002 (Compromise Software Supply Chain), T1053.005 (Scheduled Task), T1219 (Remote Access Tools), T1574 (Hijack Execution Flow), T1187 (Forced Authentication) și T1070.004 (File Deletion).

Victime și răspunsul AOMEI

Google a identificat și a anunțat victime din serviciile IT, telecomunicații și învățământul superior în unsprezece țări, printre care Spania, Portugalia și Elveția. Campania lovea pe oricine verifica actualizările în timpul ferestrelor, așa că probabil există mai multe victime. UNC7017 nu este legat de nicio țară sau grup cunoscut, iar excluderea Chinei nu arată unde se află atacatorii.

Mandiant a anunțat AOMEI pe 17 iulie; pe 29 iulie compania a comunicat că a luat măsuri corective. AOMEI a declarat pentru The Record că nu a identificat și nu a anunțat încă clienții afectați și că a lansat un instrument gratuit de detectare. Nu se știe cum au intrat atacatorii, iar ManageEngine nu a verificat independent că aceștia au pierdut accesul. Potrivit ManageEngine, raportul Google documentează și atacuri asupra AnyViewer, produsul de desktop la distanță al AOMEI; compania susține că doar Backupper a prezentat anomalii.

Impactul pentru companiile europene și italiene

Nu au fost menționate victime din Italia, dar distribuția a fost nediscriminatorie. Software-ul de backup rulează cu privilegii ridicate, citește toate datele și contactează producătorul la intervale regulate: o acoperire ideală. Pentru entitățile NIS2 este un caz de securitate a lanțului de aprovizionare; o compromitere confirmată trebuie evaluată și în vederea notificării, ținând cont că un hash NetNTLMv2 furat poate fi folosit în atacuri ulterioare asupra credențialelor.

Ce trebuie să faci acum

1. Fă inventarul AOMEI Backupper (și AnyViewer) pe stații de lucru și servere, cu versiunile.
2. Caută semne de compromitere pe toată perioada aprilie–iulie, nu doar în cele trei ferestre: Radmin Server neinstalat de IT, sarcini programate necunoscute la fiecare trei ore, executabile neașteptate în folderele AOMEI, conexiuni spre indicatorii publicați.
3. Verifică traficul WebDAV/SMB spre internet, mai ales pe 20 iulie: dacă există, consideră expuse hashurile utilizatorilor conectați și schimbă-le parolele. Blocarea SMB și WebDAV la ieșire spre internet reduce riscul.
4. Actualizează software-ul și folosește instrumentul de detectare al AOMEI: remedierea de pe server nu curăță mașinile deja infectate.
5. Dacă găsești o compromitere, izolează mașina, pornește răspunsul la incident și reinstaleaz-o.

Cum ajută ARXDOME

Agentul ARX Sentry colectează inventarul de software, procese și porturi al computerelor și serverelor Windows: te ajută să găsești rapid mașinile cu AOMEI Backupper sau Radmin. Cu ARX Trace poți lansa căutări pe mai multe mașini pentru sarcini programate și fișiere suspecte, iar ARX Shield îți permite să izolezi din rețea o mașină compromisă până la curățare.

Ultima actualizare: 20 octombrie 2026