Des attaquants ont modifié à plusieurs reprises des fichiers distribués par l'infrastructure de mise à jour légitime d'AOMEI Backupper. Pendant de courtes périodes, les systèmes Windows qui vérifiaient les mises à jour ont téléchargé et exécuté une porte dérobée.
Le Google Threat Intelligence Group (GTIG) et Mandiant ont confirmé trois périodes de manipulation d'une durée comprise entre cinq et dix minutes, selon le compte rendu de The Hacker News sur les conclusions des chercheurs. Des organisations ont été identifiées dans 11 pays, mais le GTIG n'a pas communiqué de total du nombre de systèmes ou d'organisations touchés.
Le 29 juillet 2026, AOMEI a indiqué à Mandiant avoir pris des mesures correctives pour sécuriser ses serveurs. Ce travail côté serveur ne supprime pas les logiciels malveillants déjà présents sur les postes compromis, et le Threat Analysis Lab de ManageEngine n'avait pas confirmé le confinement au moment de la publication.
Trois fenêtres de manipulation confirmées
Le GTIG et Mandiant ont identifié les périodes suivantes, pendant lesquelles du contenu malveillant a été diffusé :
| Date | Fenêtre (UTC) | Durée |
|---|---|---|
| 28 mai 2026 | 05:40–05:50 | 10 minutes |
| 16 juillet 2026 | 08:33–08:39 | 6 minutes |
| 20 juillet 2026 | 10:35–10:40 | 5 minutes |
Seules les installations de Backupper qui ont contacté le service de mise à jour pendant l'une de ces fenêtres ont reçu les fichiers modifiés. Les systèmes qui ont effectué leur vérification juste avant ou juste après ont reçu un contenu légitime. Les chercheurs estiment que d'autres fenêtres ont probablement eu lieu sans être observées.
Le GTIG décrit le ciblage comme opportuniste. Sa télémétrie a identifié des organisations touchées dans les services informatiques, les télécommunications et l'enseignement supérieur, en Australie, au Brésil, en Inde, au Pakistan, au Portugal, à Singapour, en Afrique du Sud, en Espagne, en Suisse, en Türkiye et aux États-Unis. Ces 11 pays correspondent aux lieux où le GTIG a trouvé des organisations touchées ; ce n'est pas un décompte de victimes ou de machines compromises.
La menace est suivie sous le nom UNC7017. Le GTIG ne l'a associée ni à un pays ni à un acteur déjà connu.
Des instructions de mise à jour non signées ont permis l'attaque
L'opération reposait sur la modification de deux fichiers récupérés par Backupper :
down_html.ini, qui précise le paquet de mise à jour et sa somme de contrôle ;Notifycfg.ini, qui contrôle le service de fenêtres contextuelles du logiciel et le contenu qu'il exécute.
Backupper n'authentifie cryptographiquement aucun de ces deux fichiers. La somme de contrôle du paquet est stockée dans le même fichier de configuration non signé qui indique à l'application quoi télécharger. Un attaquant capable de modifier ce fichier peut donc remplacer à la fois le paquet et la valeur servant à le vérifier.
ManageEngine estime que la méthode de distribution n'a pas nécessité l'exploitation d'une vulnérabilité logicielle. Hormis l'installation et l'exécution de Backupper, aucune interaction supplémentaire de l'utilisateur n'était requise. La manière dont UNC7017 a obtenu la capacité de modifier du contenu sur l'infrastructure d'AOMEI n'a pas encore été établie.
ManageEngine a examiné Backupper 8.3.0, mais les rapports ne précisent pas l'ensemble des versions touchées. Le GTIG indique que AnyViewer, le produit de bureau à distance d'AOMEI, utilise le même processus de mise à jour, même si ses détections concernaient Backupper.
Le 16 octobre 2026, The Hacker News a consulté le journal des modifications d'AOMEI et constaté que la version actuelle était la 8.5.0, publiée le 9 octobre 2026. Ce journal ne mentionne aucune modification de la vérification des mises à jour, et aucune version n'a été identifiée comme comblant cette faille de conception.
CROSSROAD a installé une chaîne d'exécution persistante
Le téléchargeur de premier niveau, nommé CROSSROAD, a extrait une archive dans un répertoire Radmin local et créé la tâche planifiée RadminComponentRuntime, configurée pour s'exécuter toutes les trois heures. CROSSROAD s'est ensuite supprimé du disque.
Le logiciel malveillant vérifiait la localisation de la machine et s'arrêtait s'il détectait un système situé en Chine. ManageEngine indique également qu'il se terminait lorsque certains produits de sécurité étaient présents.
L'archive préparée contenait une copie authentique et signée numériquement de Radmin, une application commerciale d'administration à distance. Sur les systèmes examinés par ManageEngine, Radmin était présent sur le disque mais n'était pas configuré comme service d'accès à distance actif : le laboratoire n'a trouvé ni écouteur, ni configuration, ni compte nouvellement créé.
En revanche, UNC7017 a utilisé l'exécutable Radmin signé pour charger une DLL malveillante depuis le même répertoire. Cette DLL a lancé SHINYROAD, un implant offrant un shell distant et la capacité de récupérer et d'exécuter d'autres codes. SHINYROAD contactait une seule adresse codée en dur et ne disposait d'aucune destination de commande et contrôle de secours : bloquer cette adresse perturbait donc le contrôle de l'attaquant, selon le rapport.
Sur certains systèmes, le GTIG a observé le framework open source Adaptix C2, déployé via SHINYROAD et présenté comme un logiciel Nitro PDF. La tâche planifiée associée se nommait NitroRuntime.
La charge utile héritait des privilèges du processus AOMEI qui l'avait lancée. Sur les machines examinées par ManageEngine, ces privilèges permettaient l'installation de logiciels à l'échelle du système, même si le niveau d'accès dépendait de la manière dont le service AOMEI était exécuté.
Une modification distincte pouvait exposer les identifiants Windows
Pendant la fenêtre du 20 juillet 2026, le GTIG a constaté que Notifycfg.ini avait également été modifié pour afficher une fenêtre contextuelle d'un pixel, invisible. Cette fenêtre renvoyait vers un fichier hébergé sur une infrastructure contrôlée par l'attaquant, via WebDAV.
Le rendu de ce contenu pouvait amener Windows à envoyer à l'attaquant la réponse NetNTLMv2 de l'utilisateur connecté. Comme cette technique ne dépend pas de l'exécution de la porte dérobée, le blocage de la seule chaîne de logiciels malveillants n'aurait pas nécessairement empêché l'exposition des identifiants.
Les contrôles réseau recommandés incluent le blocage du WebDAV externe et du trafic SMB sortant sur le port TCP 445, en complément de l'infrastructure d'attaque identifiée.
La détection a commencé plusieurs semaines avant qu'AOMEI ne signale des mesures correctives
Le logiciel de sécurité des postes de ManageEngine a enregistré pour la première fois l'installation de Radmin par Backupper sur deux systèmes de clients sans lien entre eux, dans deux pays différents, le 28 mai 2026. Un client a signalé l'activité le 7 juin 2026, et ManageEngine a informé AOMEI le jour même.
Selon le rapport, AOMEI a d'abord affirmé que le contenu avait été intercepté et modifié en transit. ManageEngine a contesté cette explication : les deux systèmes avaient utilisé HTTPS pour récupérer les fichiers directement sur les serveurs d'AOMEI, depuis des pays et des réseaux distincts, dans le cadre du processus de mise à jour normal.
À la mi-juillet 2026, ManageEngine a capturé une autre courte fenêtre de manipulation au moment où elle se produisait. Le laboratoire a indiqué que cela montrait que du contenu modifié était servi depuis le côté d'AOMEI.
Mandiant a informé AOMEI et fourni des indicateurs le 17 juillet 2026. Le 29 juillet 2026, AOMEI a indiqué à Mandiant avoir sécurisé ses serveurs. Le GTIG, Mandiant et ManageEngine ont divulgué la campagne pendant la semaine de publication du rapport source.
Les postes compromis peuvent ne plus afficher la mise à jour malveillante
Vérifier la page de téléchargement actuelle d'AOMEI ne suffit pas à lever une alerte antérieure. Les fichiers malveillants n'ont été disponibles que pendant quelques minutes, tandis que des fichiers légitimes étaient servis à d'autres moments. CROSSROAD a également restauré le fichier de mise à jour local dans son contenu authentique après avoir créé la tâche planifiée.
Le GTIG et ManageEngine recommandent de conserver les fichiers mis en cache dans les répertoires propres à Backupper, d'examiner les journaux réseau à l'heure exacte d'une alerte et de rechercher des traces sur toute la période d'avril à juillet.
Les indicateurs au niveau des postes mis en avant par les chercheurs comprennent :
- des tâches planifiées nommées
RadminComponentRuntimeouNitroRuntime; - un
upgrade-now.exenon signé contenant les informations de l'éditeur AOMEI ; - tout exécutable lancé depuis le répertoire des fenêtres contextuelles HTML de Backupper ;
- des fichiers contrôlés par l'attaquant dans le dossier de données d'application de Radmin en local.
Les indicateurs réseau signalés comprennent :
storage-data[.]compromotion.storage-data[.]comaomei.storage-data[.]com8.210.84[.]568.218.65[.]18447.239.60[.]117
Le GTIG a publié des règles YARA, tandis que ManageEngine a diffusé des règles Sigma pour la détection associée. Les organisations qui trouvent ces artefacts doivent traiter le poste séparément de la remédiation côté serveurs d'AOMEI : des mesures correctives sur l'infrastructure de mise à jour ne désactivent pas les tâches planifiées, ne suppriment pas les implants et n'invalident pas les identifiants déjà exposés.
