Gli aggressori hanno più volte alterato i file distribuiti dall'infrastruttura di aggiornamento legittima di AOMEI Backupper. Per brevi intervalli, i sistemi Windows che controllavano la presenza di aggiornamenti hanno scaricato ed eseguito una backdoor.
Google Threat Intelligence Group (GTIG) e Mandiant hanno confermato tre finestre di manomissione, della durata compresa tra cinque e dieci minuti, secondo il resoconto di The Hacker News sui risultati dei ricercatori. Sono state individuate organizzazioni in undici paesi, ma GTIG non ha fornito un totale dei sistemi o delle organizzazioni colpiti.
Il 29 luglio 2026 AOMEI ha comunicato a Mandiant di aver adottato misure correttive per mettere in sicurezza i propri server. Questo intervento lato server non rimuove il malware dagli endpoint già compromessi e, al momento della pubblicazione, il Threat Analysis Lab di ManageEngine non aveva confermato il contenimento.
Tre finestre di manomissione confermate
GTIG e Mandiant hanno individuato i seguenti periodi in cui sono stati distribuiti contenuti malevoli:
| Data | Finestra (UTC) | Durata |
|---|---|---|
| 28 maggio 2026 | 05:40–05:50 | dieci minuti |
| 16 luglio 2026 | 08:33–08:39 | sei minuti |
| 20 luglio 2026 | 10:35–10:40 | cinque minuti |
Hanno ricevuto i file alterati solo le installazioni di Backupper che hanno contattato il servizio di aggiornamento durante una di queste finestre. I sistemi che controllavano subito prima o subito dopo hanno ricevuto contenuti legittimi. I ricercatori ritengono che altre finestre siano probabilmente avvenute senza essere osservate.
GTIG ha descritto il targeting come opportunistico. La sua telemetria ha individuato organizzazioni colpite nei settori dei servizi IT, delle telecomunicazioni e dell'istruzione superiore in Australia, Brasile, India, Pakistan, Portogallo, Singapore, Sudafrica, Spagna, Svizzera, Türkiye e Stati Uniti. Questi undici paesi indicano le località in cui GTIG ha riscontrato organizzazioni colpite, e non un conteggio di vittime o macchine compromesse.
Il cluster di minacce è monitorato come UNC7017. GTIG non lo ha associato a un paese o a un attore già nominato in precedenza.
Istruzioni di aggiornamento non firmate hanno reso possibile l'attacco
L'operazione si basava su modifiche a due file scaricati da Backupper:
down_html.ini, che specifica il pacchetto di aggiornamento e il relativo checksum;Notifycfg.ini, che controlla il servizio di pop-up del software e i contenuti che esegue.
Backupper non autentica crittograficamente nessuno dei due file. Il checksum del pacchetto è memorizzato nello stesso file di configurazione non firmato che indica all'applicazione cosa scaricare. Un aggressore in grado di modificare quel file può quindi sostituire sia il pacchetto sia il valore usato per verificarlo.
ManageEngine ha stabilito che il metodo di distribuzione non richiedeva lo sfruttamento di una vulnerabilità del software. Oltre a installare ed eseguire Backupper, non era richiesta alcuna ulteriore interazione dell'utente. Non è ancora stato accertato come UNC7017 abbia ottenuto la capacità di alterare i contenuti dell'infrastruttura di AOMEI.
ManageEngine ha esaminato Backupper 8.3.0, ma i rapporti non definiscono l'intera gamma di versioni interessate. GTIG ha affermato che il prodotto di desktop remoto AOMEI AnyViewer usa lo stesso processo di aggiornamento, sebbene i rilevamenti riguardassero Backupper.
Il 16 ottobre 2026 The Hacker News ha controllato il changelog di AOMEI e ha riscontrato che la release attuale era la 8.5.0, pubblicata il 9 ottobre 2026. Il changelog non descriveva alcuna modifica alla verifica degli aggiornamenti, e non è stata individuata nessuna release che chiuda questa lacuna di progettazione.
CROSSROAD ha installato una catena di esecuzione persistente
Il downloader di primo stadio, chiamato CROSSROAD, ha decompresso un bundle in una directory locale di Radmin e ha creato l'attività pianificata RadminComponentRuntime, configurata per essere eseguita ogni tre ore. Subito dopo CROSSROAD si è rimosso dal disco.
Il malware verificava la posizione della macchina e si arrestava quando rilevava un sistema in Cina. ManageEngine ha inoltre riferito che si interrompeva quando erano presenti determinati prodotti di sicurezza.
Il bundle preparato includeva una copia autentica e firmata digitalmente di Radmin, un'applicazione commerciale di amministrazione remota. Sui sistemi esaminati da ManageEngine, Radmin era stato copiato su disco ma non era configurato come servizio di accesso remoto attivo: il laboratorio non ha trovato listener, configurazioni né account di nuova creazione.
UNC7017 ha invece usato l'eseguibile Radmin firmato per caricare una DLL malevola dalla stessa directory. Tale DLL ha avviato SHINYROAD, un implant che fornisce una shell remota e la capacità di scaricare ed eseguire altro codice. SHINYROAD contattava un solo indirizzo hard-coded e non aveva una destinazione di command-and-control di riserva: secondo il rapporto, bloccare quell'indirizzo interrompeva quindi il controllo da parte dell'attaccante.
Su alcuni sistemi GTIG ha rilevato il framework open source Adaptix C2, distribuito tramite SHINYROAD e presentato come software Nitro PDF. La relativa attività pianificata si chiamava NitroRuntime.
Il payload ereditava i privilegi del processo AOMEI che lo aveva avviato. Sulle macchine esaminate da ManageEngine, questi privilegi consentivano l'installazione di software a livello di sistema, sebbene il livello di accesso dipendesse da come era eseguito il servizio AOMEI.
Una modifica separata potrebbe esporre le credenziali di Windows
Durante la finestra del 20 luglio 2026, GTIG ha rilevato che anche Notifycfg.ini era stato modificato per mostrare un pop-up invisibile di un pixel. Il pop-up faceva riferimento a un file ospitato su un'infrastruttura controllata dall'attaccante, tramite WebDAV.
Il rendering di quel contenuto potrebbe indurre Windows a inviare all'attaccante la risposta NetNTLMv2 dell'utente connesso. Poiché questa tecnica non dipende dall'esecuzione dell'eseguibile della backdoor, bloccare la sola catena del malware non avrebbe necessariamente impedito l'esposizione delle credenziali.
Tra i controlli di rete consigliati figurano il blocco del WebDAV esterno e del traffico SMB in uscita sulla porta TCP 445, insieme all'infrastruttura dell'attaccante individuata.
Il rilevamento è iniziato settimane prima che AOMEI comunicasse le misure correttive
Il software endpoint di ManageEngine ha registrato per la prima volta, il 28 maggio 2026, l'installazione di Radmin da parte di Backupper su due sistemi di clienti non collegati tra loro, in paesi diversi. Il 7 giugno 2026 un cliente ha segnalato l'attività e ManageEngine ha informato AOMEI quello stesso giorno.
Secondo il rapporto, AOMEI inizialmente aveva dichiarato che i contenuti erano stati intercettati e modificati durante il transito. ManageEngine ha contestato questa spiegazione: entrambi i sistemi avevano usato HTTPS per recuperare i file direttamente dai server di AOMEI, da paesi e reti diversi, attraverso il normale processo di aggiornamento.
A metà luglio 2026 ManageEngine ha catturato in tempo reale un'altra breve finestra di manomissione. Il laboratorio ha affermato che ciò dimostrava che i contenuti alterati venivano erogati dal lato di AOMEI.
Il 17 luglio 2026 Mandiant ha informato AOMEI e ha fornito gli indicatori. Il 29 luglio 2026 AOMEI ha comunicato a Mandiant di aver messo in sicurezza i propri server. GTIG, Mandiant e ManageEngine hanno divulgato la campagna nella settimana in cui è uscito il rapporto originale.
Gli endpoint compromessi potrebbero non mostrare più l'aggiornamento malevolo
Controllare la pagina di download attuale di AOMEI non basta a chiudere un avviso precedente. I file malevoli sono stati disponibili solo per pochi minuti, mentre quelli legittimi venivano erogati in altri momenti. CROSSROAD ha inoltre ripristinato il file di aggiornamento locale con il suo contenuto originale dopo aver creato l'attività pianificata.
GTIG e ManageEngine raccomandano di conservare i file in cache nelle directory di Backupper, di esaminare i log di rete dell'esatto momento in cui è scattato un avviso e di effettuare attività di threat hunting sull'intero periodo da aprile a luglio.
Gli indicatori su endpoint evidenziati dai ricercatori includono:
- attività pianificate denominate
RadminComponentRuntimeoNitroRuntime; - un file
upgrade-now.exenon firmato che riporta i dati dell'editore AOMEI; - qualsiasi eseguibile avviato dalla directory dei pop-up HTML di Backupper;
- file controllati dall'attaccante nella cartella dei dati applicativi locale di Radmin.
Gli indicatori di rete segnalati includono:
storage-data[.]compromotion.storage-data[.]comaomei.storage-data[.]com8.210.84[.]568.218.65[.]18447.239.60[.]117
GTIG ha pubblicato regole YARA, mentre ManageEngine ha rilasciato regole Sigma per il rilevamento correlato. Le organizzazioni che trovano questi artefatti dovrebbero trattare l'endpoint separatamente dalla bonifica dei server di AOMEI: le misure correttive sull'infrastruttura di aggiornamento non disattivano le attività pianificate, non rimuovono gli implant né invalidano le credenziali già esposte.
