Entre maio e julho de 2026, invasores alteraram repetidamente arquivos nos servidores de atualização da AOMEI que o AOMEI Backupper consultava. As mudanças duravam de cinco a dez minutos. Durante esse intervalo, qualquer cópia do programa de backup para Windows que verificasse se havia atualizações baixava e executava um backdoor.
O Google Threat Intelligence Group (GTIG), a Mandiant e o Threat Analysis Lab da ManageEngine divulgaram a campanha nesta semana. Segundo eles, a AOMEI informou que corrigiu seus servidores, mas a medida não remove o backdoor de máquinas já comprometidas.
O AOMEI Backupper é um programa para Windows usado para fazer backups e clonar discos, desenvolvido pela AOMEI Technology, empresa registrada em Hong Kong. Assim como a ferramenta de acesso remoto da empresa, o AnyViewer, o Backupper executa serviços em segundo plano que consultam regularmente os servidores da AOMEI por HTTPS em busca de atualizações e avisos promocionais.
Dois arquivos controlam essa verificação. O down_html.ini informa qual pacote de atualização deve ser baixado e qual hash o programa deve usar para validá-lo. O Notifycfg.ini informa ao serviço de avisos o que exibir e o que executar.
O programa não verifica criptograficamente nenhum dos dois arquivos. Além disso, o hash que deveria comprovar a autenticidade do pacote está no mesmo arquivo sem assinatura que indica qual hash deve ser usado.
Segundo o laboratório da ManageEngine, não houve exploração de uma falha no software. Nenhuma vulnerabilidade foi necessária, e o usuário não precisava fazer nada além de ter o programa instalado e em execução. O invasor só precisava alterar dois arquivos de texto no servidor por alguns minutos.
Uma cópia do Backupper que consultasse o servidor durante esse intervalo baixava o pacote malicioso para a própria pasta do programa. Em seguida, o arquivo de avisos fazia com que o pacote fosse executado com os privilégios do processo da AOMEI que o iniciou.
Nas máquinas examinadas pelo laboratório, isso foi suficiente para instalar programas em todo o sistema. A possibilidade de elevação de privilégios, porém, dependia de como o serviço da AOMEI estava configurado.
Três janelas, 11 países
O GTIG e a Mandiant confirmaram três períodos de adulteração e afirmaram que provavelmente houve outros que não foram detectados:
- 28 de maio de 2026: intervalo de 10 minutos, das 05h40 às 05h50 UTC
- 16 de julho de 2026: intervalo de 6 minutos, das 08h33 às 08h39 UTC
- 20 de julho de 2026: intervalo de 5 minutos, das 10h35 às 10h40 UTC
Só foram afetadas as cópias que verificaram se havia atualizações durante uma dessas janelas. As que consultaram o servidor antes ou depois receberam arquivos legítimos e sem alterações, o que dificulta a identificação do ataque. O GTIG descreveu a seleção dos alvos como oportunista: qualquer sistema que consultasse o servidor naqueles minutos poderia ser atingido.
Com base em seus próprios dados de telemetria, o GTIG identificou organizações afetadas nos setores de serviços de TI, telecomunicações e ensino superior em 11 países: Austrália, Brasil, Índia, Paquistão, Portugal, Singapura, África do Sul, Espanha, Suíça, Turquia e Estados Unidos. O grupo não divulgou o número total de vítimas e afirmou que o número real provavelmente é maior.
O GTIG apontou que o AnyViewer, ferramenta de acesso remoto da AOMEI, usa o mesmo fluxo de atualização. No entanto, as detecções descritas envolvem o Backupper. Nenhum dos relatórios informa quais versões do programa foram afetadas. O laboratório examinou a versão 8.3.0.
O GTIG acompanha o grupo responsável pela campanha sob o identificador UNC7017, mas não apontou um país nem um agente conhecido. Segundo o grupo, este é o primeiro comprometimento de supply chain baseado em Windows que encontrou com duração tão curta, “praticamente escapando da triagem tradicional feita em um momento específico e da verificação automatizada de arquivos”.
O que foi instalado nas máquinas
Em uma máquina que recebeu o pacote, um downloader chamado CROSSROAD pelo GTIG descompactou um conjunto de arquivos em uma pasta local do Radmin, criou uma tarefa agendada para ser executada a cada três horas e, em seguida, apagou a si mesmo do disco.
O conjunto incluía uma cópia legítima e assinada do Radmin, uma ferramenta comercial de administração remota. O laboratório da ManageEngine constatou que ela foi preparada, mas nunca ativada. Não havia serviço de escuta, configuração ou nova conta. O controle remoto era feito por outro implante, que se conectava aos invasores.
A tarefa agendada executa o programa assinado do Radmin. Ele carrega uma DLL criada pelos invasores e colocada na mesma pasta, que, por sua vez, carrega o implante SHINYROAD. O implante fornece um terminal remoto e pode baixar e executar novos códigos sob comando. Ele se comunica com um único endereço hardcoded, sem alternativa. Bloquear esse endereço interrompe o controle dos invasores.
O CROSSROAD não é executado em todos os locais. Ele verifica a localização da máquina e para se ela estiver na China. A ManageEngine acrescentou que o programa também interrompe a execução caso encontre determinados agentes de segurança no sistema. Nas máquinas que passaram por essas verificações, o GTIG identificou posteriormente uma segunda ferramenta instalada junto com o SHINYROAD: o framework open source Adaptix C2, disfarçado de programa Nitro PDF.
Uma mudança em 20 de julho que não exigia executar programas
A janela de 20 de julho incluiu outro truque, que não dependia da execução de um programa. O GTIG encontrou uma alteração no arquivo de avisos para abrir uma janela invisível de um pixel, direcionada a um arquivo em um servidor dos invasores por meio do WebDAV, método que permite acessar um arquivo remoto como se estivesse no disco local.
A exibição dessa janela pode fazer o Windows enviar ao endereço dos invasores a resposta de autenticação NetNTLMv2 do usuário conectado. Essa resposta pode ser submetida a tentativas de quebra sem conexão ou reutilizada. Tudo isso ocorre sem que o usuário veja qualquer atividade. Como não era necessário executar um programa, uma máquina com o backdoor bloqueado ainda poderia ter vazado essa resposta.
O que foi informado à AOMEI e quando
O laboratório da ManageEngine afirmou que seu software de proteção de endpoints detectou a atividade pela primeira vez em 28 de maio, quando registrou o AOMEI Backupper instalando o Radmin em dois clientes sem relação entre si, localizados em países diferentes. Um cliente comunicou o caso em 7 de junho, e o laboratório notificou a AOMEI no mesmo dia. A primeira explicação da empresa foi que o conteúdo havia sido interceptado e alterado durante a transmissão.
O laboratório afirmou que as evidências não sustentavam essa explicação. As duas máquinas haviam baixado os arquivos por HTTPS dos próprios servidores da AOMEI, em países e redes diferentes, e o programa obtivera o pacote por meio do processo normal de atualização. Em meados de julho, os próprios sistemas de monitoramento do laboratório detectaram uma das janelas enquanto ela ocorria, confirmando que a alteração estava sendo distribuída a partir da infraestrutura da AOMEI.
A Mandiant notificou a AOMEI em 17 de julho e compartilhou indicadores. Em 29 de julho, a empresa informou à Mandiant que havia tomado medidas corretivas para proteger seus servidores. O laboratório da ManageEngine afirmou que, até a publicação do relatório, não havia confirmado de forma independente que o comprometimento tinha sido contido.
Nenhum dos relatórios explica como os invasores conseguiram alterar arquivos nos servidores da AOMEI. O histórico de alterações do Backupper publicado pela empresa, consultado pelo The Hacker News em 16 de outubro, não registra mudanças na forma como o programa verifica as atualizações até a versão mais recente, a 8.5.0, lançada em 9 de outubro. Os relatórios também não apontam uma versão que corrija essa falha.
O que verificar agora
Corrigir os servidores não limpa as máquinas que foram atingidas. O downloader criava a tarefa agendada e, depois, restaurava o arquivo local de atualização ao conteúdo legítimo. Assim, uma máquina infectada pode parecer normal, enquanto a página de downloads do fornecedor também exibe arquivos limpos. O GTIG e a ManageEngine recomendam que as organizações que usam programas da AOMEI investiguem todo o período entre abril e julho.
“Organizações que usam programas da AOMEI não devem presumir que estão protegidas apenas porque o fornecedor tomou medidas corretivas em seus servidores”, afirmaram o GTIG e a Mandiant.
Não descarte um alerta apenas porque a página de downloads do fornecedor está limpa agora. Como os arquivos eram restaurados em poucos minutos, essa página exibe conteúdo legítimo quase o tempo todo. Isso levou analistas a classificar detecções reais como falsos alarmes. Preserve os arquivos armazenados em cache nas pastas do próprio programa e consulte os registros de rede para identificar o que foi distribuído no momento exato em que o alerta foi acionado.
Nos endpoints, procure por:
- Tarefa agendada: RadminComponentRuntime ou NitroRuntime, usada pela ferramenta instalada posteriormente
- Arquivo: um upgrade-now.exe sem assinatura que contém os dados do editor da AOMEI, ou qualquer programa executado a partir da pasta de avisos do Backupper
- Pasta: arquivos dos invasores armazenados na pasta local de dados de aplicativos do Radmin
Na rede, bloqueie a infraestrutura dos invasores identificada nos dois relatórios. Também bloqueie conexões SMB de saída pela porta TCP 445 e conexões WebDAV para endereços externos, para impedir o roubo de credenciais:
- Domínios: storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com
- Endereços IP: 8.210.84[.]56, 8.218.65[.]184, 47.239.60[.]117
O GTIG e a ManageEngine publicaram regras de detecção junto com seus relatórios: regras YARA do GTIG e regras Sigma do laboratório. Segundo o The Hacker News, os dois conjuntos foram criados pelos próprios pesquisadores e não foram testados pela publicação.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...