Hacker kaperten die Update-Server von AOMEI Backupper in Fünf-Minuten-Fenstern, um eine Hintertür einzuschleusen

Angreifer kompromittierten die Update-Infrastruktur der weit verbreiteten Backup-Anwendung AOMEI Backupper und nutzten sie, um zwischen Mai und Juli 2026 in kurzen Zeitfenstern — manchmal nur fünf bis zehn Minuten lang — eine Hintertür auf installierte Kopien auszuliefern. Googles Threat Intelligence Group (GTIG) deckte die Kampagne zusammen mit Mandiant und dem Threat Analysis Lab von ManageEngine diese Woche auf und schrieb sie einem Akteur zu, den sie als UNC7017 verfolgt.

Bemerkenswert an dem Angriff ist, was er überhaupt nicht brauchte: keine einzige Software-Schwachstelle. AOMEI Backupper prüft zwei einfache Konfigurationsdateien auf den Servern des Herstellers — eine gibt an, welches Paket heruntergeladen werden soll, die andere steuert Pop-up-Inhalte und was ausgeführt wird. Keine der Dateien ist kryptografisch signiert, und die Prüfsumme, die einen legitimen Download belegen soll, befindet sich in genau derselben unsignierten Datei, die sie benennt. Die Angreifer bearbeiteten diese beiden Dateien einfach für ein paar Minuten, ließen den Update-Mechanismus bösartige Payloads abrufen und setzten die Dateien dann zurück, bevor es jemandem auffiel — ein Muster, das laut GTIG auch AOMEIs Remote-Zugriffstool AnyViewer betraf.

Rechner, die während eines der manipulierten Zeitfenster nach Updates suchten, erhielten den Downloader CROSSROAD, gefolgt vom Implantat SHINYROAD, das über eine legitim signierte Radmin-Remote-Zugriffsdatei zusammen mit einer eingeschleusten bösartigen DLL gestartet wurde — eine Technik namens DLL-Sideloading, die es Malware erlaubt, unter dem Deckmantel vertrauenswürdiger, signierter Software zu laufen. In mindestens einem Zeitfenster installierten die Angreifer gar nichts, sondern sammelten stattdessen direkt NetNTLMv2-Authentifizierungs-Hashes, die potenziell geknackt oder weitergeleitet werden können, um sich seitlich durch ein Windows-Netzwerk zu bewegen.

GTIG zufolge erstrecken sich die bestätigten Opfer über die Bereiche IT-Dienstleistungen, Telekommunikation und Hochschulbildung in 11 Ländern — ein Opferprofil, das eher zu einer spionagemotivierten Supply-Chain-Operation passt als zu opportunistischer Kriminalität. Der erste öffentliche Hinweis auf das Problem kam, als ManageEngines eigene Endpoint-Sicherheitssoftware etwas Ungewöhnliches meldete: AOMEI Backupper installierte plötzlich Radmin — ein legitimes, aber unzusammenhängendes Fernwartungstool — auf Rechnern zweier nicht verbundener Unternehmen. Diese Anomalie löste die umfassendere Untersuchung aus.

Mandiant informierte AOMEI am 17. Juli über die Manipulation der Konfigurationsdateien; das Unternehmen bestätigte am 29. Juli Korrekturmaßnahmen auf seinen Servern. Doch das Beheben des Serverproblems macht bereits erfolgte Infektionen nicht rückgängig — jeder Rechner, der während eines der bösartigen Zeitfenster zwischen Mai und Juli ein Update abgerufen hat, könnte die Hintertür weiterhin tragen, unabhängig davon, ob er heute die neueste Version ausführt. Sicherheitsteams wird geraten, nach unerwarteten geplanten Aufgaben, unbekannten ausführbaren Dateien in AOMEI-Installationsverzeichnissen und Anzeichen für Radmin- oder Adaptix-C2-Aktivität zu suchen, statt anzunehmen, dass ein sauberer Update-Verlauf einen sauberen Rechner bedeutet.

Die Technik selbst ist nicht neu — unsignierte, nicht authentifizierte Update-Kanäle sind seit Jahren ein leichtes Ziel, von der Asus-Live-Update-Kompromittierung 2018, die rund 70.000 Geräte infizierte, bis zu einer ähnlichen Kaperung des Update-Mechanismus von Notepad++, die Anfang dieses Jahres gemeldet wurde. Was den AOMEI-Fall auszeichnet, ist, wie wenig die Angreifer anfassen mussten: kein Exploit, kein Diebstahl von Zugangsdaten, um hineinzukommen — nur zwei Textdateien und ein paar unbeobachtete Minuten, wiederholt, bis es funktionierte.

Quelle: Enthüllungen von Googles Threat Intelligence Group, Mandiant und dem Threat Analysis Lab von ManageEngine, berichtet von The Hacker News und Malwarebytes, 19. Oktober 2026.