NoticiasNews

AOMEI Backupper: atacantes manipularon por minutos su servidor de actualizaciones para entregar un backdoorAOMEI Backupper: attackers tampered with its update server for minutes to deliver a backdoor

2026-10-17

Google Threat Intelligence Group (Mandiant) y el laboratorio de ManageEngine reportaron que atacantes alteraron en varias ocasiones los archivos de actualización que AOMEI Backupper descarga desde los propios servidores de AOMEI. The Hacker News lo publicó el 16 de octubre de 2026.

Cómo funcionó

  • Ventanas confirmadas: 28 de mayo (10 minutos), 16 de julio (6 minutos) y 20 de julio (5 minutos); probablemente hubo más.
  • Se modificaron dos archivos de configuración sin firma, down_html.ini y Notifycfg.ini. El programa no verifica criptográficamente ninguno, y la suma de comprobación está en el mismo archivo que debería validar. No se explotó ninguna vulnerabilidad de software.
  • Los equipos que consultaron actualizaciones durante una ventana ejecutaron el paquete del atacante: un descargador (CROSSROAD) que instaló una copia legítima de Radmin y un implante (SHINYROAD) con shell remota. En algunos equipos se desplegó además un framework de control de código abierto.
  • El 20 de julio, una notificación modificada intentó filtrar respuestas de autenticación NetNTLMv2 mediante WebDAV sin ejecutar ningún programa.

Alcance y estado

El actor, identificado como UNC7017, apuntó de forma oportunista a organizaciones de servicios de TI, telecomunicaciones y educación superior en 11 países, entre ellos Brasil, España y Estados Unidos. AOMEI dijo haber tomado medidas correctivas el 29 de julio, pero el laboratorio no ha confirmado la contención de forma independiente y no se ha explicado cómo los atacantes lograron acceso de escritura a los servidores. Según GTIG, AnyViewer, otra herramienta de AOMEI, usa el mismo flujo de actualización.

Qué hacer

  • Buscar actividad entre abril y julio: tareas programadas llamadas RadminComponentRuntime o NitroRuntime, un upgrade-now.exe sin firma y archivos de Radmin en datos de aplicación.
  • Bloquear los dominios e IP publicados y el tráfico saliente por SMB (TCP 445) y WebDAV externo.
  • No asumir que corregir el servidor limpia las máquinas ya infectadas, y no validar una alerta con la página de descarga del proveedor, que suele servir archivos limpios.

Los respaldos son la última línea de la continuidad operativa, y las herramientas que los gestionan merecen el mismo control que cualquier sistema crítico. Cuando aparece un aviso como este, el equipo de TI necesita abrir un incidente, asignar responsables, registrar qué equipos se revisaron y medir tiempos. Servigo365 ofrece esa mesa de ayuda con tickets, historial y SLA para dar seguimiento ordenado, y Nexturno apoya a las sucursales con turnos y citas que mantienen la atención al público organizada mientras TI resuelve.

Fuente: The Hacker News, "Attackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor" (16 de octubre de 2026).

Google Threat Intelligence Group (Mandiant) and ManageEngine's lab reported that attackers repeatedly altered the update files AOMEI Backupper downloads from AOMEI's own servers. The Hacker News published it on October 16, 2026.

How it worked

  • Confirmed windows: May 28 (10 minutes), July 16 (6 minutes) and July 20 (5 minutes); there were likely more.
  • Two unsigned configuration files, down_html.ini and Notifycfg.ini, were modified. The program does not cryptographically verify either, and the checksum sits in the same file it should validate. No software vulnerability was exploited.
  • Machines that checked for updates during a window ran the attacker's package: a downloader (CROSSROAD) that installed a legitimate copy of Radmin and an implant (SHINYROAD) with a remote shell. Some machines also received an open-source command-and-control framework.
  • On July 20, a modified notification tried to leak NetNTLMv2 authentication responses over WebDAV without running any program.

Scope and status

The actor, tracked as UNC7017, opportunistically targeted IT services, telecommunications and higher-education organizations in 11 countries, including Brazil, Spain and the United States. AOMEI said it took corrective action on July 29, but the lab has not independently confirmed containment and it has not been explained how attackers gained write access to the servers. According to GTIG, AnyViewer, another AOMEI tool, uses the same update flow.

What to do

  • Hunt for activity between April and July: scheduled tasks named RadminComponentRuntime or NitroRuntime, an unsigned upgrade-now.exe and Radmin files in application data.
  • Block the published domains and IPs and outbound SMB (TCP 445) and external WebDAV traffic.
  • Do not assume fixing the server cleans machines already infected, and do not validate an alert against the vendor's download page, which usually serves clean files.

Backups are the last line of operational continuity, and the tools that manage them deserve the same control as any critical system. When an advisory like this lands, the IT team needs to open an incident, assign owners, record which machines were checked and measure times. Servigo365 provides that help desk with tickets, history and SLAs for orderly follow-up, and Nexturno supports branches with queues and appointments that keep in-person service organized while IT resolves the issue.

Source: The Hacker News, "Attackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor" (October 16, 2026).

← Volver al blog← Back to blog