🛡 VULNERABILIDADES 🛡

Atacantes manipularon los servidores de actualización de AOMEI Backupper durante minutos para entregar una puerta trasera.

⏰18 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Atacantes manipularon los servidores de actualización de AOMEI Backupper durante minutos para entregar una puerta trasera.

⟫ 16/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

Los atacantes modificaron repetidamente los archivos que AOMEI Backupper descarga de los propios servidores de actualización de la empresa, en intervalos de cinco a diez minutos, entre mayo y julio de 2026. Durante estos breves lapsos, cualquier copia del programa de respaldo de Windows que verificara actualizaciones se veía comprometida, ya que descargaba y ejecutaba una puerta trasera.

El Grupo de Inteligencia de Amenazas de Google, Mandiant y el Laboratorio de Análisis de Amenazas de ManageEngine, que han revelado esta campaña recientemente, informan que AOMEI ha indicado que ha corregido sus servidores; sin embargo, esta solución no erradica la puerta trasera de las máquinas que ya fueron afectadas. AOMEI Backupper es un software de respaldo y clonación de discos desarrollado por AOMEI Technology, un proveedor registrado en Hong Kong. Similar a la herramienta de acceso remoto AnyViewer de la compañía, Backupper ejecuta servicios en segundo plano que revisan periódicamente los servidores de AOMEI a través de HTTPS en busca de actualizaciones de software y anuncios promocionales.

Este proceso de verificación depende de dos archivos fundamentales. El primero, down_html.ini, especifica el paquete de actualización que debe descargarse y el checksum que el programa utiliza para verificar su integridad. El segundo, Notifycfg.ini, indica al servicio de notificación qué debe mostrar y qué ejecutar. Es importante destacar que el programa no verifica criptográficamente ninguno de los archivos mencionados, y el checksum que debería garantizar la autenticidad de la descarga se encuentra dentro del mismo archivo no firmado que lo nombra.

Según el laboratorio de ManageEngine, no hubo ninguna explotación del software en sí; no existía una vulnerabilidad que pudiera ser aprovechada, y no se requería ninguna acción por parte del usuario más allá de tener el programa instalado y funcionando. El atacante simplemente necesitaba alterar esos dos archivos de texto en el servidor durante unos minutos. Una copia de Backupper que realizara la verificación durante uno de esos lapsos descargaba el paquete del atacante en su propia carpeta, y el archivo de notificación lo ejecutaba con los privilegios del proceso de AOMEI que lo había lanzado.

En las máquinas examinadas por el laboratorio, esta situación era suficiente para instalar software a lo largo de todo el sistema, aunque la elevación de privilegios dependía de cómo estuviera funcionando el servicio de AOMEI. El Grupo de Inteligencia de Amenazas de Google y Mandiant confirmaron tres ventanas de manipulación, y afirmaron que probablemente hubo más que no pudieron observar. Las fechas y horarios de estas ventanas fueron: el 28 de mayo de 2026, con un intervalo de diez minutos entre las 05:40 y las 05:50 UTC; el 16 de julio de 2026, con un intervalo de seis minutos, de 08:33 a 08:39 UTC; y el 20 de julio de 2026, con una ventana de cinco minutos, de 10:35 a 10:40 UTC. Solo las copias que verificaron actualizaciones durante dichas ventanas fueron afectadas, lo que hizo que el ataque fuera difícil de detectar, ya que las copias que consultaron antes o después de estos periodos obtuvieron archivos genuinos y limpios. El Grupo de Inteligencia de Amenazas de Google describió la estrategia como oportunista, atacando cualquier sistema que realizara consultas en esos momentos.

A partir de su propia telemetría, el Grupo de Inteligencia de Amenazas de Google identificó organizaciones afectadas en los sectores de servicios de TI, telecomunicaciones y educación superior en once países: Australia, Brasil, India, Pakistán, Portugal, Singapur, Sudáfrica, España, Suiza, Turquía y Estados Unidos. No se facilitó un número total, pero se indicó que la cifra real probablemente es mayor. Además, el Grupo de Inteligencia de Amenazas de Google mencionó a AnyViewer como una herramienta de acceso remoto que utiliza el mismo flujo de actualizaciones, aunque las detecciones descritas involucraban específicamente a Backupper. Ninguno de los informes detalla qué versiones de Backupper se vieron afectadas, y el laboratorio examinó la versión 8.3.0.

El grupo detrás de esta campaña ha sido rastreado como UNC7017, sin que se haya nombrado a ningún país o actor conocido. Se indicó que esta es la primera vez que se encuentra una violación de la cadena de suministro construida sobre Windows en un intervalo tan breve, "eludiendo efectivamente la triage tradicional y el escaneo automatizado de archivos".

En una máquina que descargó el paquete, un descargador que el Grupo de Inteligencia de Amenazas de Google denomina CROSSROAD descomprimió un conjunto de archivos en una carpeta local de Radmin, creó una tarea programada para ejecutarse cada tres horas y luego se eliminó a sí mismo del disco. Este conjunto incluía una copia genuina y firmada de Radmin, una herramienta comercial de administración remota. El laboratorio de ManageEngine encontró que estaba preparado pero nunca activado, sin oyentes, sin configuración y sin nuevas cuentas. El control remoto se ejercía a través de un implante separado que se comunicaba con el atacante.

La tarea programada ejecuta el programa firmado de Radmin, el cual carga un DLL creado por el atacante que se encuentra junto a él, y que a su vez carga el implante SHINYROAD. Este implante proporciona un shell remoto y puede descargar y ejecutar nuevo código bajo demanda. Se comunica a través de una única dirección codificada, sin respaldo, de modo que bloquear esa dirección impide el control del atacante.

CROSSROAD solo se ejecuta en ciertos lugares; verifica la ubicación de la máquina y se detiene si se encuentra en China. ManageEngine añadió que también se detiene si detecta ciertos agentes de seguridad en el host. En las máquinas que superaron estas comprobaciones, el Grupo de Inteligencia de Amenazas de Google observó posteriormente que se empujaba una segunda herramienta sobre SHINYROAD, el marco de trabajo de código abierto Adaptix C2, disfrazado como software Nitro PDF.

La ventana del 20 de julio incluyó un segundo truco que no requería la ejecución de ningún programa. El Grupo de Inteligencia de Amenazas de Google descubrió que el archivo de notificación había sido modificado para abrir un pop-up invisible de un solo píxel que apuntaba a un archivo en el servidor del atacante a través de WebDAV, un método para acceder a un archivo remoto como si estuviera en el disco local. La representación de ese pop-up puede hacer que Windows envíe la respuesta de autenticación NetNTLMv2 del usuario conectado, un token que un atacante puede intentar descifrar fuera de línea o reutilizar, a la dirección del atacante sin que el usuario se percatara de nada. Debido a que no era necesario ejecutar ningún programa, una máquina con la puerta trasera bloqueada aún podría haber filtrado ese token.

El laboratorio de ManageEngine indicó que su software de endpoint capturó por primera vez la actividad el 28 de mayo, cuando registró la instalación de Radmin por parte de AOMEI Backupper en dos clientes no relacionados en diferentes países. Un cliente lo notificó el 7 de junio, y el laboratorio alertó a AOMEI ese mismo día. La primera explicación proporcionada por AOMEI fue que el contenido había sido interceptado y modificado durante la transmisión.

Sin embargo, el laboratorio concluyó que la evidencia no respaldaba esa explicación. Ambas máquinas habían descargado los archivos a través de HTTPS desde los propios servidores de AOMEI, a través de diferentes países y redes, y el programa había obtenido el paquete mediante sus pasos normales de actualización. A mediados de julio, sus propios monitores captaron una de las ventanas mientras ocurría, confirmando que el cambio se estaba sirviendo desde el lado de AOMEI.

Mandiant notificó a AOMEI el 17 de julio y compartió indicadores relacionados con una posible vulneración de seguridad. AOMEI, en respuesta, informó a Mandiant el 29 de julio que había tomado medidas correctivas para asegurar sus servidores. Sin embargo, el laboratorio de ManageEngine indicó que, hasta la fecha de publicación de este artículo, no había confirmado de manera independiente que la brecha de seguridad hubiera sido completamente contenida.

Ninguno de los informes proporciona detalles sobre cómo el atacante logró obtener la capacidad de modificar archivos en los servidores de AOMEI. El cambio de registro de versiones de Backupper, revisado por The Hacker News el 16 de octubre, no muestra modificaciones en la forma en que el programa verifica las actualizaciones en su versión actual, la 8.5.0, lanzada el 9 de octubre. Además, ningún informe menciona una versión que cierre esta vulnerabilidad.

Es crucial entender que un servidor que ha sido corregido no garantiza la limpieza de una máquina que ya ha sido comprometida. El descargador configuró una tarea programada y luego restauró el archivo de actualización local a su contenido original, lo que significa que una máquina infectada puede parecer normal mientras que la página de descarga del proveedor también puede lucir limpia. Tanto GTIG como ManageEngine instan a las organizaciones que utilizan software de AOMEI a realizar una búsqueda exhaustiva en todo el periodo comprendido entre abril y julio.

Los expertos de GTIG y Mandiant advierten que las organizaciones que operan con software de AOMEI no deben asumir que están protegidas únicamente porque el proveedor ha tomado medidas correctivas en el lado del servidor. La evaluación de alertas de seguridad no debe basarse en la revisión de la página de descarga del proveedor en el momento actual. Dado que los archivos fueron revertidos en cuestión de minutos, esa página suele mostrar contenido genuino casi todo el tiempo, lo que ha llevado a algunos analistas a desestimar detecciones reales como falsas alarmas. Es fundamental conservar los archivos almacenados en las carpetas del programa y revisar los registros de red para identificar qué contenido fue servido en el momento exacto en que se activó la alerta.

En cuanto a la tarea programada, esta corresponde a RadminComponentRuntime o NitroRuntime en el caso de la herramienta de seguimiento. En cuanto a los archivos, se hace referencia a un upgrade-now.exe no firmado que contiene los detalles del editor de AOMEI, o cualquier programa que se ejecute desde la carpeta emergente de HTML de Backupper. Los archivos del atacante se encuentran organizados en la carpeta de datos de aplicación local de Radmin.

En la red, es imperativo bloquear la infraestructura del atacante mencionada en ambos informes, así como bloquear el tráfico saliente de SMB (TCP 445) y WebDAV hacia direcciones externas para detener el truco de credenciales. Las direcciones de dominio involucradas son: storage-data[.]com, promotion.storage-data[.]com y aomei.storage-data[.]com, mientras que las direcciones IP asociadas son: 8.210.84[.]56, 8.218.65[.]184 y 47.239.60[.]117.

GTIG y ManageEngine han publicado reglas de detección junto con sus informes, incluyendo reglas YARA de GTIG y reglas Sigma del laboratorio. Es importante señalar que ambos conjuntos de reglas son de elaboración propia de los investigadores y no han sido probados por The Hacker News, lo que añade una capa adicional de precaución para las organizaciones que buscan proteger sus sistemas.

◢ VULNERABILIDADES ◣

Attackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor

⟫ 16/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Attackers repeatedly changed the files that AOMEI Backupper fetches from the vendor's own update servers, in windows of five to ten minutes at a time between May and July 2026, so that any copy of the Windows backup program that checked for an update during one of those windows would download and run a backdoor. Google Threat Intelligence Group, Mandiant, andManageEngine's Threat Analysis Lab, which disclosed the campaign this week, say AOMEI has reported fixing its servers, but that fix does not remove the backdoor from machines that were already hit. AOMEI Backupper is Windows backup and disk-cloning software made by AOMEI Technology, a vendor registered in Hong Kong. Like the company's remote-desktop tool AnyViewer, it runs background services that regularly check AOMEI's servers over HTTPS for software updates and promotional pop-ups. Two files drive that check. One, down_html.ini, names the update package to download and the checksum the program uses to verify it. The other, Notifycfg.ini, tells the pop-up service what to display and what to run. The program does not cryptographically verify either file, and the checksum that is supposed to prove the download is genuine sits inside the same unsigned file that names it. Nothing in the software was exploited. There was no vulnerability, and no user action was needed beyond having the program installed and running, according to ManageEngine's lab. The attacker only had to change two text files on the server for a few minutes. A copy of Backupper that checked in during a window pulled the attacker's package into its own folder, and the notification file then made it run. It ran with the privileges of the AOMEI process that launched it. On the machines the lab examined, that was enough to install software across the whole system, though it said the elevation depended on how the AOMEI service was running. GTIG and Mandiant confirmed three tampering windows, and said more probably happened that they did not see: May 28, 2026: a 10-minute window, 05:40 to 05:50 UTC July 16, 2026: a 6-minute window, 08:33 to 08:39 UTC July 20, 2026: a 5-minute window, 10:35 to 10:40 UTC Only copies that checked for an update during a window were affected. A copy that checked before or after got clean, genuine files, which is what makes the attack hard to catch. GTIG described the targeting as opportunistic, hitting whatever system happened to poll during those minutes. From its own telemetry, GTIG identified affected organizations in IT services, telecommunications and higher education across 11 countries: Australia, Brazil, India, Pakistan, Portugal, Singapore, South Africa, Spain, Switzerland, Türkiye and the United States. It gave no total and said the real number is likely higher. GTIG named AnyViewer, AOMEI's remote-desktop tool, as using the same update flow, but the detections it describes involve Backupper. Neither report lists which Backupper versions are affected, and the lab examined version 8.3.0. GTIG tracks the group behind the campaign as UNC7017 and names no country or known actor. It said this is the first supply chain compromise it has encountered built on Windows this short, "effectively evading traditional point-in-time triage and automated file scanning." On a machine that pulled the package, a downloader that GTIG calls CROSSROAD unpacked a bundle into a local Radmin folder, created a scheduled task set to run every three hours, and then deleted itself from disk. The bundle included a genuine, signed copy of Radmin, a commercial remote-administration tool. ManageEngine's lab found it staged but never switched on, with no listener, no configuration, and no new account. The remote control came instead from a separate implant that reached out to the attacker. The scheduled task runs the signed Radmin program, which loads an attacker-built DLL placed beside it, which in turn loads the SHINYROAD implant. The implant gives a remote shell and can fetch and run new code on command. It talks to a single hard-coded address with no backup, so blocking that one address cuts off the attacker's control. CROSSROAD runs only in some places. It checks the machine's location and stops if it is in China, and ManageEngine added that it also stops if it finds particular security agents on the host. On machines that passed those checks, GTIG later saw a second tool pushed down on top of SHINYROAD, the open-sourceAdaptix C2framework, disguised as Nitro PDF software. The July 20 window included a second trick that did not require running any program. GTIG found that the notification file had been changed to open an invisible, one-pixel pop-up pointing to a file on an attacker's server via WebDAV, a way to access a remote file as if it were on the local disk. Rendering that pop-up can make Windows send the logged-in user's NetNTLMv2 authentication response, a token an attacker can try to crack offline or reuse, to the attacker's address with nothing visible to the user. Because no program had to run, a machine with the backdoor blocked could still have leaked that token. ManageEngine's lab said its endpoint software first caught the activity on May 28, when it recorded AOMEI Backupper installing Radmin on two unrelated customers in different countries. A customer raised it on June 7, and the lab notified AOMEI the same day. AOMEI's first explanation was that the content had been intercepted and changed in transit. The lab said the evidence did not support that explanation. Both machines had fetched the files over HTTPS from AOMEI's own servers, across different countries and networks, and the program had pulled the package in through its normal update steps. In mid-July, its own monitors caught one of the windows as it happened, confirming the change was being served from AOMEI's side. Mandiant notified AOMEI on July 17 and shared indicators. AOMEI told Mandiant on July 29 that it had taken corrective action to secure its servers. ManageEngine's lab said that, as of publication, it had not independently confirmed that the compromise had been contained. Neither report says how the attacker gained the ability to change files on AOMEI's servers. AOMEI's publishedchangelogfor Backupper, checked by The Hacker News on October 16, lists no change to how the program verifies updates through the current release, 8.5.0, from October 9. Neither report points to a version that closes the gap. A fixed server does not clean a machine that was hit. The downloader set up its scheduled task and then restored the local update file to its genuine contents, so an infected machine can look normal while the vendor's download page also looks clean. GTIG and ManageEngine both urge organizations running AOMEI software to hunt across the whole April-to-July period. "Organizations running AOMEI software cannot assume they are protected solely because the vendor took corrective server-side action," GTIG and Mandiant said. Do not judge an alert by checking the vendor's download page now. Because the files changed back within minutes, that page serves genuine content almost all the time, which has led analysts to dismiss real detections as false alarms. Preserve the files cached in the program's own folders, and check network logs for what was served at the exact time the alert fired. Scheduled task: RadminComponentRuntime, or NitroRuntime for the follow-on tool File: an unsigned upgrade-now.exe that carries AOMEI's publisher details, or any program running from Backupper's html pop-up folder Folder: attacker files staged under the local Radmin application-data folder On the network, block the attacker infrastructure named in both reports, and block outbound SMB (TCP 445) and WebDAV to external addresses to stop the credential trick: Domain: storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com IP: 8.210.84[.]56, 8.218.65[.]184, 47.239.60[.]117 GTIG and ManageEngine each published detection rules with their reports, YARA rules from GTIG and Sigma rules from the lab. Both sets are the researchers' own and have not been tested by The Hacker News.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD