В обновления AOMEI Backupper внедряли бэкдор короткими окнами
Злоумышленники подменяли файлы обновлений Windows-программы AOMEI Backupper на серверах производителя короткими окнами по 5–10 минут. Google Threat Intelligence Group, Mandiant и Threat Analysis Lab компании ManageEngine подтвердили три эпизода: 28 мая, 16 июля и 20 июля 2026 года. Компьютер получал вредоносный пакет только в том случае, если проверка обновления приходилась на один из этих интервалов.
AOMEI Backupper — продукт AOMEI Technology для резервного копирования и клонирования дисков. Компания сообщила Mandiant, что 29 июля приняла меры для защиты серверов, однако это не удаляет вредоносное ПО с уже скомпрометированных устройств. Исследователи не раскрывают, каким способом атакующие получили возможность менять файлы на инфраструктуре поставщика.
Как работала подмена обновлений
Backupper регулярно обращается к серверам AOMEI по HTTPS. Для процесса важны файлы down_html.ini, задающий имя пакета и контрольную сумму, и Notifycfg.ini, управляющий уведомлениями и запуском файлов. Программа не выполняла криптографическую проверку этих конфигураций, а контрольная сумма находилась в том же неподписанном файле, что и имя загружаемого пакета.
По данным ManageEngine, эксплойта и взаимодействия с пользователем не требовалось: достаточно было установленной и работающей программы. Атакующие на несколько минут изменяли два текстовых файла на сервере. Клиент, выполнивший проверку в это время, скачивал пакет в собственную папку, после чего конфигурация уведомления инициировала его запуск с правами процесса AOMEI.
Подтверждённые окна подмены продолжались с 05:40 до 05:50 UTC 28 мая, с 08:33 до 08:39 UTC 16 июля и с 10:35 до 10:40 UTC 20 июля. GTIG считает кампанию оппортунистической: жертвой становилась любая система, которая опрашивала сервер в нужную минуту. В телеметрии исследователей обнаружены организации из IT-услуг, телекоммуникаций и высшего образования в 11 странах, но общее число пострадавших не названо.
Что оставалось на устройстве
Загрузчик CROSSROAD распаковывал компоненты в локальную папку Radmin, создавал задачу планировщика для запуска раз в три часа и удалял себя. В составе находилась легитимная подписанная утилита удалённого администрирования Radmin. Она загружала размещённую рядом вредоносную DLL, которая запускала имплант SHINYROAD с удалённой оболочкой и возможностью получать новый код.
На части устройств исследователи также наблюдали Adaptix C2, замаскированный под Nitro PDF. 20 июля атакующие дополнительно настроили невидимое однопиксельное окно с обращением по WebDAV к своему серверу. Его отображение могло отправить NetNTLMv2-ответ текущего пользователя внешнему узлу даже без запуска вредоносной программы.
Что проверить организациям
Проверка текущей страницы загрузки AOMEI не позволяет исключить инцидент: подменённые файлы возвращались к штатному состоянию через минуты, а локальный файл обновления после атаки также мог быть восстановлен. GTIG и ManageEngine рекомендуют анализировать события за период с апреля по июль, сохранять кэш в папках Backupper и сопоставлять сетевые журналы с точным временем срабатывания.
На конечных точках стоит искать задания RadminComponentRuntime и NitroRuntime, неподписанный upgrade-now.exe с данными издателя AOMEI, процессы из папки HTML-уведомлений Backupper и подозрительные файлы в локальном каталоге Radmin. Для снижения риска утечки учётных данных исследователи советуют блокировать указанную ими инфраструктуру атакующих и ограничить исходящие SMB по TCP 445 и WebDAV на внешние адреса. Практический вывод для бизнеса: серверное исправление поставщика не заменяет ретроспективную проверку устройств, которые использовали AOMEI в период кампании.