Angreifer manipulierten wiederholt Dateien, die über die legitime Update-Infrastruktur von AOMEI Backupper ausgeliefert wurden. So entstanden kurze Zeitfenster, in denen Windows-Systeme bei der Update-Prüfung eine Backdoor herunterluden und ausführten.
Die Google Threat Intelligence Group (GTIG) und Mandiant bestätigten drei Manipulationszeiträume von jeweils fünf bis zehn Minuten Dauer. Das geht aus dem Bericht von The Hacker News über die Erkenntnisse der Forscher hervor. Betroffene Organisationen wurden in elf Ländern identifiziert, GTIG nannte jedoch keine Gesamtzahl betroffener Systeme oder Organisationen.
AOMEI teilte Mandiant am 29. Juli 2026 mit, dass das Unternehmen Korrekturmaßnahmen ergriffen habe, um seine Server abzusichern. Diese serverseitigen Maßnahmen entfernen jedoch keine Schadsoftware von bereits kompromittierten Endgeräten. Das Threat Analysis Lab von ManageEngine hatte die Eindämmung zum Zeitpunkt der Veröffentlichung nicht bestätigt.
Drei bestätigte Manipulationszeiträume
GTIG und Mandiant identifizierten die folgenden Zeiträume, in denen schädliche Inhalte ausgeliefert wurden:
| Datum | Zeitfenster (UTC) | Dauer |
|---|---|---|
| 28. Mai 2026 | 05:40–05:50 | zehn Minuten |
| 16. Juli 2026 | 08:33–08:39 | sechs Minuten |
| 20. Juli 2026 | 10:35–10:40 | fünf Minuten |
Nur Backupper-Installationen, die während eines dieser Zeitfenster den Update-Dienst kontaktierten, erhielten die manipulierten Dateien. Systeme, die unmittelbar davor oder danach nachfragten, bekamen legitime Inhalte. Die Forscher gehen davon aus, dass weitere Zeitfenster vermutlich unbeobachtet blieben.
GTIG beschrieb das Targeting als opportunistisch. Die Telemetrie der Gruppe identifizierte betroffene Organisationen aus den Bereichen IT-Dienstleistungen, Telekommunikation und Hochschulbildung in Australien, Brasilien, Indien, Pakistan, Portugal, Singapur, Südafrika, Spanien, der Schweiz, der Türkei und den Vereinigten Staaten. Bei diesen elf Ländern handelt es sich um Standorte, an denen GTIG betroffene Organisationen fand. Es ist keine Zahl von Opfern oder kompromittierten Rechnern.
Der Bedrohungscluster wird als UNC7017 geführt. GTIG ordnete ihn weder einem Land noch einem bereits benannten Akteur zu.
Unsignierte Update-Anweisungen ermöglichten den Angriff
Die Operation beruhte auf Änderungen an zwei Dateien, die Backupper abruft:
down_html.ini, die das Update-Paket und dessen Prüfsumme festlegt;Notifycfg.ini, die den Pop-up-Dienst der Software und die von ihm ausgeführten Inhalte steuert.
Backupper authentifiziert keine der beiden Dateien kryptografisch. Die Prüfsumme des Pakets steht in derselben unsignierten Konfigurationsdatei, die festlegt, was heruntergeladen wird. Ein Angreifer, der diese Datei verändern kann, kann daher sowohl das Paket als auch den Wert austauschen, mit dem es geprüft wird.
ManageEngine stufte ein, dass die Auslieferung keine Ausnutzung einer Software-Schwachstelle erforderte. Abgesehen von der Installation und dem Start von Backupper war keine weitere Nutzerinteraktion nötig. Wie UNC7017 die Möglichkeit erlangte, Inhalte auf der Infrastruktur von AOMEI zu verändern, ist nicht geklärt.
ManageEngine untersuchte Backupper 8.3.0. Die Berichte legten jedoch nicht den vollständigen Bereich betroffener Versionen fest. GTIG erklärte, dass das Fernwartungsprodukt AnyViewer von AOMEI denselben Update-Prozess nutzt, die Erkennungen betrafen jedoch Backupper.
Am 16. Oktober 2026 prüfte The Hacker News das Änderungsprotokoll von AOMEI. Demnach war die aktuelle Version 8.5.0, veröffentlicht am 9. Oktober 2026. Das Änderungsprotokoll beschrieb keine Anpassung der Update-Prüfung. Eine Version, die diese Designlücke schließt, wurde bisher nicht identifiziert.
CROSSROAD richtete eine dauerhafte Ausführungskette ein
Der Downloader der ersten Stufe mit dem Namen CROSSROAD entpackte ein Paket in ein lokales Radmin-Verzeichnis und legte die geplante Aufgabe RadminComponentRuntime an. Sie war so konfiguriert, dass sie alle drei Stunden läuft. Danach entfernte sich CROSSROAD selbst von der Festplatte.
Die Schadsoftware prüfte den Standort des Rechners und brach ab, wenn sie ein System in China erkannte. ManageEngine berichtete zudem, dass sie sich beendete, wenn bestimmte Sicherheitsprodukte vorhanden waren.
Das vorbereitete Paket enthielt eine echte, digital signierte Kopie von Radmin, einer kommerziellen Anwendung für die Fernadministration. Auf den von ManageEngine untersuchten Systemen lag Radmin zwar auf der Festplatte, war aber nicht als aktiver Fernzugriffsdienst konfiguriert. Das Labor fand weder einen Listener noch eine Konfiguration oder ein neu angelegtes Konto.
Stattdessen nutzte UNC7017 die signierte Radmin-Programmdatei, um eine schädliche DLL aus demselben Verzeichnis zu laden. Diese DLL startete SHINYROAD, ein Implantat, das eine Remote-Shell bereitstellt und das Abrufen und Ausführen weiterer Codes ermöglicht. SHINYROAD kontaktierte eine fest codierte Adresse und hatte kein Ersatzziel für Command-and-Control. Laut Bericht unterbrach das Blockieren dieser Adresse daher die Kontrolle der Angreifer.
Auf einigen Systemen beobachtete GTIG das Open-Source-Framework Adaptix C2, das über SHINYROAD bereitgestellt und als Nitro-PDF-Software getarnt wurde. Die zugehörige geplante Aufgabe trug den Namen NitroRuntime.
Die Nutzlast erbte die Berechtigungen des AOMEI-Prozesses, der sie gestartet hatte. Auf den von ManageEngine untersuchten Rechnern erlaubten diese Berechtigungen eine systemweite Softwareinstallation. Der tatsächliche Zugriffsumfang hing jedoch davon ab, wie der AOMEI-Dienst lief.
Eine separate Änderung könnte Windows-Anmeldedaten offenlegen
Während des Zeitfensters vom 20. Juli 2026 stellte GTIG fest, dass auch Notifycfg.ini so verändert worden war, dass ein unsichtbares Pop-up mit einem Pixel angezeigt wurde. Das Pop-up verwies über WebDAV auf eine Datei, die auf einer vom Angreifer kontrollierten Infrastruktur lag.
Beim Rendern dieses Inhalts könnte Windows die NetNTLMv2-Antwort des angemeldeten Benutzers an den Angreifer senden. Da diese Technik nicht vom Ausführen der Backdoor-Datei abhängt, hätte das Blockieren der Schadsoftware-Kette allein die Offenlegung der Zugangsdaten nicht zwingend verhindert.
Zu den empfohlenen Netzwerkkontrollen gehören das Blockieren von externem WebDAV und von ausgehendem SMB-Verkehr auf TCP-Port 445 sowie das Blockieren der identifizierten Angreifer-Infrastruktur.
Die Erkennung begann Wochen, bevor AOMEI Korrekturmaßnahmen meldete
Die Endpoint-Software von ManageEngine erfasste am 28. Mai 2026 erstmals, dass Backupper Radmin auf zwei nicht zusammenhängenden Kundensystemen in verschiedenen Ländern installierte. Ein Kunde meldete die Auffälligkeit am 7. Juni 2026. ManageEngine benachrichtigte AOMEI noch am selben Tag.
Laut Bericht erklärte AOMEI zunächst, die Inhalte seien auf dem Übertragungsweg abgefangen und verändert worden. ManageEngine widersprach dieser Erklärung: Beide Systeme hatten die Dateien per HTTPS direkt von den AOMEI-Servern abgerufen, aus verschiedenen Ländern und Netzwerken, über den normalen Update-Prozess.
Mitte Juli 2026 erfasste ManageEngine ein weiteres kurzes Manipulationsfenster in Echtzeit. Das Labor sah darin einen Beleg dafür, dass manipulierte Inhalte von AOMEI-Seite ausgeliefert wurden.
Mandiant benachrichtigte AOMEI am 17. Juli 2026 und stellte Indikatoren bereit. Am 29. Juli 2026 teilte AOMEI Mandiant mit, dass die eigenen Server gesichert seien. GTIG, Mandiant und ManageEngine machten die Kampagne in der Woche des Quellberichts öffentlich.
Kompromittierte Endgeräte zeigen das schädliche Update möglicherweise nicht mehr
Ein Blick auf die aktuelle Download-Seite von AOMEI reicht nicht aus, um eine frühere Warnung zu entkräften. Die schädlichen Dateien waren nur wenige Minuten verfügbar, legitime Dateien wurden zu anderen Zeiten ausgeliefert. CROSSROAD stellte außerdem nach dem Einrichten der geplanten Aufgabe die lokale Update-Datei auf ihren originalen Inhalt zurück.
GTIG und ManageEngine empfehlen, die im eigenen Verzeichnis von Backupper zwischengespeicherten Dateien zu sichern, Netzwerkprotokolle genau zum Zeitpunkt einer Warnung zu prüfen und den gesamten Zeitraum von April bis Juli zu durchsuchen.
Die Forscher heben folgende Endpoint-Indikatoren hervor:
- geplante Aufgaben mit den Namen
RadminComponentRuntimeoderNitroRuntime; - eine unsignierte
upgrade-now.exemit AOMEI-Herausgeberangaben; - jede ausführbare Datei, die aus dem HTML-Pop-up-Verzeichnis von Backupper gestartet wurde;
- vom Angreifer kontrollierte Dateien im lokalen Anwendungsdatenordner von Radmin.
Gemeldete Netzwerkindikatoren sind:
storage-data[.]compromotion.storage-data[.]comaomei.storage-data[.]com8.210.84[.]568.218.65[.]18447.239.60[.]117
GTIG veröffentlichte YARA-Regeln, ManageEngine Sigma-Regeln für die zugehörige Erkennung. Organisationen, die diese Artefakte finden, sollten das Endgerät getrennt von der serverseitigen Behebung bei AOMEI behandeln. Korrekturmaßnahmen an der Update-Infrastruktur deaktivieren keine geplanten Aufgaben, entfernen keine Implantate und machen bereits offengelegte Zugangsdaten nicht ungültig.
