AOMEI Backupper : un serveur de mise à jour piégé

Ce qui se passe

Google Threat Intelligence Group, Mandiant et le laboratoire ManageEngine ont révélé cette semaine une attaque contre la chaîne de mise à jour d'AOMEI Backupper, un logiciel de sauvegarde Windows. Entre mai et juillet 2026, les attaquants ont remplacé à plusieurs reprises, pendant 5 à 10 minutes, deux fichiers que le programme lit sur les serveurs HTTPS de l'éditeur. Toute copie qui cherchait une mise à jour pendant la fenêtre récupérait une porte dérobée.

Il n'y a aucune vulnérabilité : le défaut est de conception.

• down_html.ini désigne le paquet à télécharger et l'empreinte censée le vérifier ;
• Notifycfg.ini dit au service de notifications quoi afficher et quoi exécuter ;
• aucun des deux n'est signé, et l'empreinte vit dans le fichier qu'elle protège.

Fenêtres confirmées et portée

Google et Mandiant estiment qu'il y en a eu d'autres. Victimes identifiées dans l'informatique, les télécoms et l'enseignement supérieur de 11 pays : Australie, Brésil, Inde, Pakistan, Portugal, Singapour, Afrique du Sud, Espagne, Suisse, Türkiye, États-Unis. Le groupe est suivi comme UNC7017. AnyViewer, l'outil de bureau à distance du même éditeur, suit le même flux de mise à jour, mais les détections concernent Backupper (version 8.3.0 examinée ; les rapports ne listent pas les versions touchées).

Ce qui s'installe

Un téléchargeur, CROSSROAD, dépose un paquet dans un dossier Radmin local, crée une tâche planifiée qui tourne toutes les 3 heures, puis s'efface. Le paquet contient un Radmin légitime et signé qui charge une DLL des attaquants, laquelle charge l'implant SHINYROAD (shell distant, exécution de code à la demande, un seul serveur de commande codé en dur). CROSSROAD s'arrête si la machine est en Chine ou si certains agents de sécurité sont présents. Sur certaines machines, un second outil, le framework open source Adaptix C2 déguisé en Nitro PDF, est ajouté.

Le 20 juillet, la notification ouvrait aussi une pop-up invisible d'un pixel pointant vers un partage WebDAV des attaquants : Windows pouvait leur envoyer le jeton NetNTLMv2 de l'utilisateur, sans qu'aucun programme ne tourne.

Pourquoi c'est difficile à voir

Le téléchargeur restaure le fichier local d'origine, et la page de l'éditeur est saine presque tout le temps : des analystes ont pris de vraies détections pour des faux positifs. AOMEI affirme avoir corrigé ses serveurs (message à Mandiant le 29 juillet) mais ManageEngine ne l'a pas confirmé, et ni l'une ni l'autre des sources n'explique comment les serveurs ont été atteints. Le journal des modifications de Backupper, publié jusqu'à la 8.5.0 du 9 octobre, ne mentionne aucun changement dans la vérification des mises à jour.

Que faire

Chercher sur toute la période avril–juillet :

• tâche planifiée RadminComponentRuntime (ou NitroRuntime pour l'outil suivant) ;
• fichier upgrade-now.exe non signé portant l'éditeur AOMEI, ou tout programme lancé depuis le dossier html des pop-ups de Backupper ;
• fichiers des attaquants dans le dossier de données locales de Radmin.

Côté réseau, bloquer :

• domaines storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com ;
• IP 8.210.84[.]56, 8.218.65[.]184, 47.239.60[.]117 ;
• le SMB sortant (TCP 445) et le WebDAV vers l'extérieur.

Conserver les fichiers en cache du programme et regarder les journaux réseau à l'heure exacte de l'alerte. GTIG publie des règles YARA et ManageEngine des règles Sigma, non testées par The Hacker News.

Pour vos propres mises à jour : signez le manifeste lui-même, pas seulement le paquet, et ne rangez jamais l'empreinte dans le fichier qui la valide.

Source : The Hacker News, 16 octobre 2026, d'après les rapports de Google Threat Intelligence Group, Mandiant et ManageEngine.