Hackers secuestraron los servidores de actualización de AOMEI Backupper en ventanas de cinco minutos para instalar una puerta trasera

Atacantes comprometieron la infraestructura de actualización de AOMEI Backupper, una aplicación de respaldo ampliamente utilizada, y la emplearon para distribuir una puerta trasera a las copias instaladas durante breves ventanas entre mayo y julio de 2026 — a veces durante tan solo cinco a diez minutos. El Grupo de Inteligencia de Amenazas de Google (GTIG), junto con Mandiant y el Laboratorio de Análisis de Amenazas de ManageEngine, reveló la campaña esta semana, atribuyéndola a un actor que rastrea como UNC7017.

El ataque destaca por lo que no necesitó en absoluto: ninguna vulnerabilidad de software. AOMEI Backupper verifica dos archivos de configuración sencillos en los servidores del fabricante — uno que le indica qué paquete descargar, otro que controla el contenido de las ventanas emergentes y qué se ejecuta. Ninguno de los archivos está firmado criptográficamente, y la suma de verificación destinada a probar que una descarga es legítima se encuentra dentro del mismo archivo sin firmar que la nombra. Los atacantes simplemente editaron esos dos archivos durante unos minutos, dejaron que el mecanismo de actualización descargara cargas maliciosas, y luego revirtieron los archivos antes de que nadie lo notara — un patrón que, según GTIG, también afectó a la herramienta de acceso remoto AnyViewer de AOMEI.

Las máquinas que verificaron actualizaciones durante una de las ventanas manipuladas recibieron el descargador CROSSROAD, seguido del implante SHINYROAD, lanzado a través de un binario de acceso remoto Radmin legítimamente firmado junto con una DLL maliciosa plantada — una técnica conocida como «DLL sideloading» que permite al malware ejecutarse bajo la cobertura de software de confianza y firmado. En al menos una ventana, los atacantes no instalaron nada en absoluto y en su lugar recolectaron directamente hashes de autenticación NetNTLMv2, que potencialmente pueden descifrarse o reenviarse para moverse lateralmente por una red Windows.

GTIG afirma que las víctimas confirmadas abarcan los sectores de servicios de TI, telecomunicaciones y educación superior en 11 países — un perfil de víctimas más consistente con una operación de cadena de suministro con motivación de espionaje que con un delito oportunista. La primera señal pública del problema surgió cuando el propio software de seguridad de endpoints de ManageEngine detectó algo inusual: AOMEI Backupper instalando repentinamente Radmin, una herramienta de administración remota legítima pero no relacionada, en máquinas de dos empresas sin conexión entre sí. Esa anomalía fue lo que desencadenó la investigación más amplia.

Mandiant notificó a AOMEI sobre la manipulación de los archivos de configuración el 17 de julio; la empresa confirmó una acción correctiva en sus servidores el 29 de julio. Pero arreglar el servidor no deshace las infecciones que ya ocurrieron — cualquier máquina que haya descargado una actualización durante una de las ventanas maliciosas entre mayo y julio podría seguir portando la puerta trasera, sin importar si hoy ejecuta la última versión. Se recomienda a los equipos de seguridad buscar tareas programadas inesperadas, ejecutables desconocidos dentro de los directorios de instalación de AOMEI, y señales de actividad de Radmin o Adaptix C2, en lugar de asumir que un historial de actualizaciones limpio significa una máquina limpia.

La técnica en sí no es nueva — los canales de actualización sin firmar ni autenticar han sido un blanco fácil durante años, desde el compromiso de Asus Live Update en 2018 que infectó aproximadamente 70.000 dispositivos, hasta un secuestro similar del mecanismo de actualización de Notepad++ reportado a principios de este año. Lo que distingue al caso de AOMEI es lo poco que necesitaron tocar los atacantes: ningún exploit, ningún robo de credenciales para entrar, solo dos archivos de texto y unos minutos sin vigilancia, repetidos hasta que funcionó.

Fuente: revelaciones del Grupo de Inteligencia de Amenazas de Google, Mandiant y el Laboratorio de Análisis de Amenazas de ManageEngine, reportado por The Hacker News y Malwarebytes, 19 de octubre de 2026.