Hackers sequestraram servidores de atualização do AOMEI Backupper em janelas de cinco minutos para instalar backdoor

Invasores comprometeram a infraestrutura de atualização do AOMEI Backupper, um aplicativo de backup amplamente utilizado, e a usaram para distribuir um backdoor às cópias instaladas durante breves janelas entre maio e julho de 2026 — às vezes por apenas cinco a dez minutos de cada vez. O Threat Intelligence Group do Google (GTIG), em parceria com a Mandiant e o Threat Analysis Lab da ManageEngine, revelou a campanha esta semana, atribuindo-a a um agente que rastreia como UNC7017.

O ataque chama atenção pelo que não precisou: nenhuma vulnerabilidade de software. O AOMEI Backupper verifica dois arquivos de configuração simples nos servidores do fabricante — um que indica qual pacote baixar, outro que controla o conteúdo de pop-ups e o que é executado. Nenhum dos arquivos é assinado criptograficamente, e o checksum destinado a provar que um download é legítimo está dentro do próprio arquivo não assinado que o nomeia. Os invasores simplesmente editaram esses dois arquivos por alguns minutos, deixaram o mecanismo de atualização buscar cargas maliciosas e depois reverteram os arquivos antes que alguém percebesse — um padrão que, segundo o GTIG, também afetou a ferramenta de acesso remoto AnyViewer da AOMEI.

Máquinas que verificaram atualizações durante uma das janelas adulteradas receberam o downloader CROSSROAD, seguido pelo implante SHINYROAD, lançado por meio de um binário de acesso remoto Radmin legitimamente assinado, junto com uma DLL maliciosa plantada — uma técnica conhecida como «DLL sideloading», que permite que o malware seja executado sob a cobertura de software confiável e assinado. Em pelo menos uma janela, os invasores não instalaram nada e, em vez disso, coletaram diretamente hashes de autenticação NetNTLMv2, que potencialmente podem ser quebrados ou retransmitidos para se mover lateralmente por uma rede Windows.

O GTIG afirma que as vítimas confirmadas abrangem os setores de serviços de TI, telecomunicações e ensino superior em 11 países — um perfil de vítimas mais consistente com uma operação de cadeia de suprimentos motivada por espionagem do que com crime oportunista. O primeiro sinal público do problema surgiu quando o próprio software de segurança de endpoint da ManageEngine detectou algo incomum: o AOMEI Backupper instalando repentinamente o Radmin, uma ferramenta de administração remota legítima mas não relacionada, em máquinas de duas empresas sem conexão entre si. Essa anomalia foi o que desencadeou a investigação mais ampla.

A Mandiant notificou a AOMEI sobre a adulteração dos arquivos de configuração em 17 de julho; a empresa confirmou ação corretiva em seus servidores em 29 de julho. Mas corrigir o servidor não desfaz as infecções que já ocorreram — qualquer máquina que tenha baixado uma atualização durante uma das janelas maliciosas entre maio e julho pode ainda estar com o backdoor, independentemente de estar executando a versão mais recente hoje. Equipes de segurança são aconselhadas a procurar tarefas agendadas inesperadas, executáveis desconhecidos dentro dos diretórios de instalação do AOMEI e sinais de atividade do Radmin ou Adaptix C2, em vez de supor que um histórico de atualizações limpo significa uma máquina limpa.

A técnica em si não é nova — canais de atualização não assinados e não autenticados têm sido um alvo fácil há anos, desde o comprometimento do Asus Live Update em 2018, que infectou cerca de 70 mil dispositivos, até um sequestro semelhante do mecanismo de atualização do Notepad++ relatado no início deste ano. O que diferencia o caso AOMEI é o quão pouco os invasores precisaram tocar: nenhum exploit, nenhum roubo de credenciais para entrar, apenas dois arquivos de texto e alguns minutos sem monitoramento, repetidos até funcionar.

Fonte: divulgações do Threat Intelligence Group do Google, Mandiant e Threat Analysis Lab da ManageEngine, reportado por The Hacker News e Malwarebytes, 19 de outubro de 2026.