Podmienione aktualizacje AOMEI Backupper instalowały backdoor na komputerach z Windows

Między majem a lipcem 2026 napastnicy wielokrotnie podmieniali pliki na serwerach aktualizacji AOMEI Backupper, za każdym razem na pięć do dziesięciu minut. Program, który sprawdził aktualizacje w takim oknie, pobierał i uruchamiał backdoor. AOMEI zgłosiło naprawę serwerów, ale nie usuwa ona backdoora z komputerów już zainfekowanych. Kampanię ujawniły Google Threat Intelligence Group, Mandiant i laboratorium ManageEngine. Napastnicy nie wykorzystali żadnej podatności: program nie weryfikuje kryptograficznie plików down_html.ini i Notifycfg.ini, a suma kontrolna pobieranej paczki leży w tym samym niepodpisanym pliku.

Kogo dotyczy

Użytkowników AOMEI Backupper, programu firmy AOMEI Technology z Hongkongu do kopii zapasowych i klonowania dysków na Windows, którego usługi w tle łączyły się z serwerami producenta w czasie podmiany. Wystarczyło, że program był zainstalowany i działał. Backdoor dostawał uprawnienia procesu AOMEI, który go uruchomił. Na komputerach zbadanych przez ManageEngine pozwalało to instalować oprogramowanie w całym systemie.