Los atacantes alteraron repetidamente archivos distribuidos a través de la infraestructura legítima de actualizaciones de AOMEI Backupper. Así crearon ventanas breves en las que los sistemas Windows que buscaban actualizaciones descargaban y ejecutaban una puerta trasera.
Google Threat Intelligence Group (GTIG) y Mandiant confirmaron tres periodos de manipulación de entre cinco y diez minutos cada uno, según el relato de The Hacker News sobre los hallazgos de los investigadores. Se identificaron organizaciones en 11 países, pero GTIG no proporcionó un total de sistemas u organizaciones afectadas.
AOMEI informó a Mandiant el 29 de julio de 2026 de que había tomado medidas correctivas para asegurar sus servidores. Ese trabajo en el lado del servidor no elimina el malware de los endpoints que ya están comprometidos, y el Threat Analysis Lab de ManageEngine no había confirmado la contención en el momento de la publicación.
Tres ventanas de manipulación confirmadas
GTIG y Mandiant identificaron los siguientes periodos en los que se distribuyó contenido malicioso:
| Fecha | Ventana (UTC) | Duración |
|---|---|---|
| 28 de mayo de 2026 | 05:40–05:50 | 10 minutos |
| 16 de julio de 2026 | 08:33–08:39 | 6 minutos |
| 20 de julio de 2026 | 10:35–10:40 | 5 minutos |
Solo recibieron los archivos alterados las instalaciones de Backupper que contactaron con el servicio de actualización durante una de esas ventanas. Los sistemas que consultaron justo antes o justo después recibieron contenido legítimo. Los investigadores consideraron que probablemente hubo otras ventanas que no llegaron a observarse.
GTIG describió la selección de objetivos como oportunista. Su telemetría identificó organizaciones afectadas de los sectores de servicios de TI, telecomunicaciones y educación superior en Australia, Brasil, India, Pakistán, Portugal, Singapur, Sudáfrica, España, Suiza, Turquía y Estados Unidos. Estos 11 países son las ubicaciones donde GTIG encontró organizaciones afectadas, no un recuento de víctimas ni de equipos comprometidos.
El grupo de amenazas se rastrea como UNC7017. GTIG no lo asoció con ningún país ni con un actor identificado previamente.
Las instrucciones de actualización sin firma permitieron el ataque
La operación dependió de cambios en dos archivos que Backupper descarga:
down_html.ini, que especifica el paquete de actualización y su suma de comprobación;Notifycfg.ini, que controla el servicio de ventanas emergentes del software y el contenido que ejecuta.
Backupper no autentica criptográficamente ninguno de los dos archivos. La suma de comprobación del paquete está almacenada en el mismo archivo de configuración sin firma que indica a la aplicación qué descargar. Por eso, un atacante que pueda modificar ese archivo puede sustituir tanto el paquete como el valor que se usa para verificarlo.
ManageEngine determinó que el método de distribución no requería explotar una vulnerabilidad del software. Aparte de instalar y ejecutar Backupper, no se necesitaba ninguna interacción adicional del usuario. Todavía no se ha establecido cómo UNC7017 obtuvo la capacidad de modificar contenido en la infraestructura de AOMEI.
ManageEngine analizó Backupper 8.3.0, pero los informes no definieron el rango completo de versiones afectadas. GTIG indicó que el producto de escritorio remoto AnyViewer, de AOMEI, usa el mismo proceso de actualización, aunque sus detecciones se refieren a Backupper.
El 16 de octubre de 2026, The Hacker News consultó el registro de cambios de AOMEI y encontró que la versión actual era la 8.5.0, publicada el 9 de octubre de 2026. El registro no describía ningún cambio en la verificación de actualizaciones, y no se ha identificado ninguna versión que cierre esa debilidad de diseño.
CROSSROAD instaló una cadena de ejecución persistente
El descargador de primera etapa, llamado CROSSROAD, descomprimió un paquete en un directorio local de Radmin y creó la tarea programada RadminComponentRuntime, configurada para ejecutarse cada tres horas. Después, CROSSROAD se eliminó a sí mismo del disco.
El malware comprobaba la ubicación del equipo y se detenía si detectaba un sistema en China. ManageEngine también informó de que finalizaba su ejecución cuando estaban presentes determinados productos de seguridad.
El paquete preparado incluía una copia auténtica y firmada digitalmente de Radmin, una aplicación comercial de administración remota. En los sistemas que analizó ManageEngine, Radmin estaba copiado en el disco, pero no estaba configurado como servicio de acceso remoto activo: el laboratorio no encontró ningún proceso de escucha, configuración ni cuenta de nueva creación.
En cambio, UNC7017 usó el ejecutable firmado de Radmin para cargar una DLL maliciosa desde el mismo directorio. Esa DLL lanzó SHINYROAD, un implante que ofrece una shell remota y la capacidad de recuperar y ejecutar más código. SHINYROAD se conectaba a una única dirección codificada de forma fija y no tenía un destino de mando y control de respaldo. Según el informe, esto significa que bloquear esa dirección interrumpía el control del atacante.
En algunos sistemas, GTIG observó el framework de código abierto Adaptix C2 desplegado a través de SHINYROAD y presentado como software Nitro PDF. Su tarea programada asociada se llamaba NitroRuntime.
La carga útil heredaba los privilegios del proceso de AOMEI que la iniciaba. En las máquinas que analizó ManageEngine, esos privilegios permitían instalar software en todo el sistema, aunque el nivel de acceso dependía de cómo se ejecutaba el servicio de AOMEI.
Una modificación independiente podría exponer credenciales de Windows
Durante la ventana del 20 de julio de 2026, GTIG descubrió que Notifycfg.ini también había sido modificado para mostrar una ventana emergente invisible de un píxel. Esa ventana hacía referencia a un archivo alojado en una infraestructura controlada por el atacante a través de WebDAV.
Al renderizar ese contenido, Windows podía enviar al atacante la respuesta NetNTLMv2 del usuario conectado. Como esta técnica no depende de ejecutar el ejecutable de la puerta trasera, bloquear solo la cadena de malware no habría evitado necesariamente la exposición de credenciales.
Los controles de red recomendados incluyen bloquear el WebDAV externo y el tráfico SMB saliente por el puerto TCP 445, además de la infraestructura del atacante identificada.
La detección comenzó semanas antes de que AOMEI informara de medidas correctivas
El software de endpoints de ManageEngine registró por primera vez que Backupper instaló Radmin en dos sistemas de clientes no relacionados, en países distintos, el 28 de mayo de 2026. Un cliente planteó la actividad el 7 de junio de 2026, y ManageEngine notificó a AOMEI ese mismo día.
Según el informe, AOMEI sostuvo inicialmente que el contenido había sido interceptado y modificado durante la transmisión. ManageEngine rechazó esa explicación: ambos sistemas habían usado HTTPS para descargar los archivos directamente de los servidores de AOMEI, desde países y redes distintos, mediante el proceso normal de actualización.
A mediados de julio de 2026, ManageEngine capturó en tiempo real otra ventana breve de manipulación. El laboratorio afirmó que esto demostraba que el contenido alterado se estaba sirviendo desde el lado de AOMEI.
Mandiant notificó a AOMEI y le facilitó indicadores el 17 de julio de 2026. AOMEI informó a Mandiant el 29 de julio de 2026 de que había asegurado sus servidores. GTIG, Mandiant y ManageEngine dieron a conocer la campaña durante la semana en que se publicó el informe original.
Los endpoints comprometidos podrían ya no mostrar la actualización maliciosa
Comprobar la página de descargas actual de AOMEI no basta para descartar una alerta anterior. Los archivos maliciosos solo estuvieron disponibles durante minutos, mientras que en otros momentos se sirvieron archivos legítimos. Además, CROSSROAD restauró el archivo de actualización local a su contenido original después de crear la tarea programada.
GTIG y ManageEngine recomiendan conservar los archivos almacenados en caché en los directorios propios de Backupper, revisar los registros de red del momento exacto en que se produjo una alerta y buscar indicios durante todo el periodo de abril a julio.
Los indicadores de endpoint que destacaron los investigadores incluyen:
- tareas programadas llamadas
RadminComponentRuntimeoNitroRuntime; - un
upgrade-now.exesin firma digital con datos del editor AOMEI; - cualquier ejecutable lanzado desde el directorio de ventanas emergentes HTML de Backupper;
- archivos controlados por el atacante en la carpeta local de datos de la aplicación Radmin.
Los indicadores de red informados incluyen:
storage-data[.]compromotion.storage-data[.]comaomei.storage-data[.]com8.210.84[.]568.218.65[.]18447.239.60[.]117
GTIG publicó reglas YARA, mientras que ManageEngine publicó reglas Sigma para la detección relacionada. Las organizaciones que encuentren estos artefactos deben tratar el endpoint por separado de la remediación en los servidores de AOMEI: las medidas correctivas en la infraestructura de actualización no desactivan las tareas programadas, no eliminan los implantes ni invalidan las credenciales ya expuestas.
