Attackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor
The Hacker News · 16 oct, 18:43
Los atacantes modificaron durante breves ventanas (5-10 minutos) los servidores de actualización de AOMEI Backupper entre mayo y julio de 2026 para entregar un backdoor a cualquier máquina que consultara actualizaciones durante esos períodos. Google Threat Intelligence, Mandiant y ManageEngine descubrieron la campaña dirigida a organizaciones en 11 países. AOMEI aseguró haber corregido los servidores, pero el backdoor ya está en las máquinas comprometidas.
El ataque aprovechó la falta de verificación criptográfica de dos archivos de configuración (down_html.ini y Notifycfg.ini) que AOMEI Backupper descarga de los servidores del fabricante. El atacante modificó estos archivos durante ventanas cortas y precisas—confirmadas el 28 de mayo (10 minutos), 16 de julio (6 minutos) y 20 de julio (5 minutos), todas en UTC—para servir un paquete malicioso. Solo las máquinas que consultaban durante esas ventanas quedaban afectadas, dificultando la detección.
El payload incluyó CROSSROAD, un descargador que desplegaba Radmin (herramienta comercial de administración remota genuina y firmada) junto a una DLL maliciosa que cargaba el implante SHINYROAD, capaz de proporcionar shell remoto y ejecutar código bajo demanda. Las máquinas en China y con ciertos agentes de seguridad quedaban excluidas del ataque. En una ventana posterior, el atacante también modificó el archivo de notificaciones para abrir un pop-up invisible que filtraba tokens NetNTLMv2. ManageEngine detectó la actividad el 28 de mayo, informó a AOMEI el 7 de junio, y en mediados de julio confirmó que las cambios procedían de los servidores de AOMEI.
Puntos clave
- Tres ventanas de modificación confirmadas entre mayo y julio de 2026; probablemente hubo más no detectadas
- Afectadas organizaciones en IT, telecomunicaciones y educación superior en Australia, Brasil, India, Pakistán, Portugal, Singapur, Sudáfrica, España, Suiza, Turquía y Estados Unidos
- El servidor no requería explotar vulnerabilidades; la falta de verificación criptográfica permitía reemplazar archivos de configuración
- El backdoor ejecutaba con privilegios del proceso AOMEI; capaz de instalar software adicional en todo el sistema
- Herramienta remota Radmin genuina usada como cubierta; implante SHINYROAD proporciona control remoto; también se desplegó framework C2 Adaptix