Des pirates ont détourné les serveurs de mise à jour d'AOMEI Backupper pendant des fenêtres de cinq minutes pour installer une porte dérobée

Des attaquants ont compromis l'infrastructure de mise à jour d'AOMEI Backupper, une application de sauvegarde largement utilisée, et l'ont exploitée pour diffuser une porte dérobée sur les copies installées pendant de courtes fenêtres entre mai et juillet 2026 — parfois pendant seulement cinq à dix minutes à la fois. Le Threat Intelligence Group de Google (GTIG), en collaboration avec Mandiant et le Threat Analysis Lab de ManageEngine, a révélé cette campagne cette semaine, l'attribuant à un acteur qu'il suit sous le nom d'UNC7017.

L'attaque se distingue par ce dont elle n'a eu besoin : aucune vulnérabilité logicielle. AOMEI Backupper vérifie deux simples fichiers de configuration sur les serveurs de l'éditeur — l'un indiquant quel paquet télécharger, l'autre contrôlant le contenu des fenêtres contextuelles et ce qui s'exécute. Aucun des deux fichiers n'est signé cryptographiquement, et la somme de contrôle censée prouver qu'un téléchargement est légitime se trouve dans ce même fichier non signé qui la nomme. Les attaquants ont simplement modifié ces deux fichiers pendant quelques minutes, laissé le mécanisme de mise à jour récupérer des charges malveillantes, puis rétabli les fichiers avant que quiconque ne le remarque — un schéma qui, selon GTIG, a également touché l'outil d'accès à distance AnyViewer d'AOMEI.

Les machines ayant vérifié les mises à jour durant l'une de ces fenêtres altérées ont reçu le téléchargeur CROSSROAD, suivi de l'implant SHINYROAD, lancé via un binaire d'accès à distance Radmin légitimement signé accompagné d'une DLL malveillante implantée — une technique connue sous le nom de « DLL sideloading » qui permet au logiciel malveillant de s'exécuter sous couvert d'un logiciel de confiance et signé. Dans au moins une fenêtre, les attaquants n'ont rien installé du tout et ont à la place directement récolté des empreintes d'authentification NetNTLMv2, potentiellement cassables ou rejouables pour se déplacer latéralement sur un réseau Windows.

GTIG indique que les victimes confirmées se situent dans les secteurs des services informatiques, des télécommunications et de l'enseignement supérieur, répartis dans 11 pays — un profil de victimes plus cohérent avec une opération de chaîne d'approvisionnement à motivation d'espionnage qu'avec une criminalité opportuniste. Le premier signe public du problème est apparu lorsque le logiciel de sécurité des terminaux de ManageEngine lui-même a signalé quelque chose d'inhabituel : AOMEI Backupper installant soudainement Radmin, un outil d'administration à distance légitime mais sans rapport, sur des machines de deux entreprises non liées. Cette anomalie est ce qui a déclenché l'enquête plus large.

Mandiant a informé AOMEI de l'altération des fichiers de configuration le 17 juillet ; l'entreprise a confirmé une action corrective sur ses serveurs le 29 juillet. Mais réparer le serveur n'annule pas les infections déjà survenues — toute machine ayant récupéré une mise à jour durant l'une des fenêtres malveillantes entre mai et juillet pourrait encore porter la porte dérobée, qu'elle exécute ou non la dernière version aujourd'hui. Il est conseillé aux équipes de sécurité de rechercher des tâches planifiées inattendues, des exécutables inconnus dans les répertoires d'installation d'AOMEI, et des signes d'activité de Radmin ou Adaptix C2, plutôt que de supposer qu'un historique de mise à jour propre signifie une machine saine.

La technique elle-même n'est pas nouvelle — les canaux de mise à jour non signés et non authentifiés sont une cible facile depuis des années, du piratage d'Asus Live Update en 2018 qui a infecté environ 70 000 appareils, à un détournement similaire du mécanisme de mise à jour de Notepad++ signalé plus tôt cette année. Ce qui distingue le cas AOMEI, c'est le peu que les attaquants ont eu besoin de toucher : aucun exploit, aucun vol d'identifiants pour entrer, juste deux fichiers texte et quelques minutes sans surveillance, répétées jusqu'à ce que cela fonctionne.

Source : révélations du Threat Intelligence Group de Google, de Mandiant et du Threat Analysis Lab de ManageEngine, rapportées par The Hacker News et Malwarebytes, 19 octobre 2026.