Comprometen los servidores de actualización de AOMEI para distribuir malware

El 19 de octubre de 2026, BleepingComputer informó de que unos atacantes comprometieron la infraestructura de actualización de AOMEI Backupper para distribuir malware mediante una función promocional integrada en la aplicación de copias de seguridad para Windows.

La campaña de cadena de suministro se desarrolló entre abril y julio de 2026 y fue atribuida por Google Threat Intelligence Group (GTIG), ManageEngine's Threat Analysis Lab (METAL) y Mandiant al actor UNC7017. Los investigadores identificaron organizaciones afectadas en Estados Unidos, Australia, India, Singapur, España y Suiza, pertenecientes a sectores como los servicios de TI, las telecomunicaciones y la educación superior.

Los atacantes modificaron temporalmente los archivos down_html.ini y Notifycfg.ini, utilizados respectivamente para indicar dónde descargar paquetes y controlar notificaciones. Los cambios redirigían AOMEI Backupper hacia un archivo ZIP malicioso y empleaban el mecanismo de notificaciones para ejecutarlo sin interacción del usuario. También alteraban la suma de comprobación esperada para que el archivo superara las verificaciones de integridad.

ManageEngine detectó la actividad por primera vez el 28 de mayo, cuando AOMEI Backupper instaló Radmin en equipos de dos empresas no relacionadas. La monitorización posterior capturó modificaciones maliciosas el 16 de julio. Google y ManageEngine identificaron tres ventanas de exposición: diez minutos el 28 de mayo, seis minutos el 16 de julio y cinco minutos el 20 de julio. Los atacantes restauraban los archivos originales pocos minutos después.

Durante esas ventanas, el descargador CROSSROAD realizó reconocimiento del sistema, descargó componentes adicionales y estableció persistencia mediante una tarea programada. SHINYROAD utilizó componentes legítimos de Radmin para cargar código malicioso y conectarse con un servidor de mando y control. En el ataque del 20 de julio también se observó un intento de robar hashes de autenticación de Windows mediante un recurso WebDAV controlado por los atacantes.

ManageEngine notificó a AOMEI la actividad sospechosa el 7 de junio. Tras la captura de nuevas modificaciones, los investigadores facilitaron a la empresa los hashes y las diferencias entre los archivos originales y alterados, y recomendaron preservar las pruebas y recurrir a especialistas de respuesta a incidentes. AOMEI afirmó posteriormente que había actualizado sus servidores, corregido posibles vulnerabilidades y verificado los archivos alojados. La compañía indicó a BleepingComputer que su director de tecnología dirigía una investigación interna prioritaria, aunque no confirmó cómo se obtuvo el acceso a la infraestructura ni si el compromiso estaba completamente resuelto.

Fuente: BleepingComputer.