Владелец Windows-компьютера запускает программу резервного копирования, та проверяет обновления — и получает бэкдор. Именно это происходило с AOMEI Backupper: по данным Google Threat Intelligence Group (GTIG), Mandiant и лаборатории ManageEngine, злоумышленники правили файлы на серверах обновлений вендора короткими окнами по 5–10 минут с мая по июль 2026 года. Уязвимости в самом продукте не было, действий от пользователя не требовалось — достаточно было установленной и работающей программы, которая в нужные минуты обратилась за обновлением. Похожая логика у недавних атак на цепочку поставок: например, SonicWall SMA 1000 эксплуатировали сразу после выхода патча.
Два текстовых файла без криптографической проверки
AOMEI Backupper — программа резервного копирования и клонирования дисков от AOMEI Technology, вендора, зарегистрированного в Гонконге. Как и утилита удалённого доступа AnyViewer того же производителя, она держит фоновые службы, которые регулярно обращаются к серверам AOMEI по HTTPS за обновлениями и рекламными всплывающими окнами.
Этими проверками управляют два файла:
down_html.ini— указывает пакет обновления для загрузки и контрольную сумму, которой программа проверяет его;Notifycfg.ini— определяет, что показывать в всплывающем окне и что запускать.
Оба файла программа не проверяет криптографически, а контрольная сумма, которая должна подтверждать подлинность загрузки, лежит внутри того же неподписанного файла, что и называет пакет. Достаточно было на несколько минут изменить два текстовых файла на сервере.
Копия Backupper, обратившаяся к серверу в такое окно, скачивала пакет атакующего в собственную папку, после чего файл уведомлений запускал его. Процесс выполнялся с правами службы AOMEI, которая его инициировала. На обследованных машинах этого хватало, чтобы установить ПО на уровне всей системы, хотя, по замечанию лаборатории, объём прав зависел от того, как именно запущена служба AOMEI.
Три подтверждённых окна подмены и 11 стран
GTIG и Mandiant подтвердили три окна подмены и отметили, что, вероятно, были и другие, оставшиеся незамеченными:
- 28 мая 2026 года — 10 минут, с 05:40 до 05:50 UTC;
- 16 июля 2026 года — 6 минут, с 08:33 до 08:39 UTC;
- 20 июля 2026 года — 5 минут, с 10:35 до 10:40 UTC.
Пострадали только те копии, что проверяли обновления внутри окна. Копия, обратившаяся до или после, получала чистые подлинные файлы — именно это и затрудняет обнаружение. GTIG описывает targeting как оппортунистический: под удар попадал любой компьютер, который в эти минуты опрашивал сервер.
По собственной телеметрии GTIG выявила пострадавшие организации в сфере ИТ-услуг, телекоммуникаций и высшего образования в 11 странах: Австралия, Бразилия, Индия, Пакистан, Португалия, Сингапур, ЮАР, Испания, Швейцария, Турция и США. Общее число пострадавших не приводится, и, по оценке GTIG, реальное количество выше.
GTIG назвала AnyViewer, инструмент удалённого доступа AOMEI, использующим тот же механизм обновлений, но описанные детекты касаются Backupper. Ни в одном из отчётов не указано, какие версии Backupper затронуты; лаборатория исследовала версию 8.3.0. Группу, стоящую за кампанией, GTIG отслеживает как UNC7017, не называя страну и известных акторов. По её словам, это первая встреченная ею атака на цепочку поставок под Windows такой короткой длительности, «эффективно обходящая традиционный точечный триаж и автоматическое сканирование файлов».
Что именно оказывалось на машине
На компьютере, скачавшем пакет, загрузчик, который GTIG называет CROSSROAD, распаковывал набор в локальную папку Radmin, создавал запланированную задачу с запуском каждые три часа и удалял себя с диска.
В набор входила подлинная подписанная копия Radmin — коммерческого средства удалённого администрирования. Лаборатория ManageEngine обнаружила её подготовленной, но так и не включённой: без слушателя, конфигурации и новых учётных записей. Управление шло через отдельный имплант, который сам выходил на атакующего.
Запланированная задача запускает подписанную программу Radmin, та загружает созданную атакующими DLL, размещённую рядом, а та, в свою очередь, загружает имплант SHINYROAD. Имплант даёт удалённую оболочку и может скачивать и выполнять новый код по команде. Он обращается к единственному жёстко прописанному адресу без резервного, так что блокировка этого адреса обрывает управление. Схожий приём с закреплением в системе разбирали и в случае с GitLab, где закрыли RCE через регулярные выражения CI/CD.
CROSSROAD работает не везде: он проверяет расположение машины и останавливается, если она в Китае; ManageEngine добавляет, что он также прекращает работу при обнаружении на хосте определённых защитных агентов. На машинах, прошедших эти проверки, GTIG позднее видела второй инструмент, доставленный поверх SHINYROAD, — открытый фреймворк Adaptix C2 под видом ПО Nitro PDF.
Окно 20 июля: утечка токена без запуска кода
В окно 20 июля вошёл второй приём, не требовавший запуска программ. GTIG обнаружила, что файл уведомлений изменили так, чтобы открывать невидимое всплывающее окно размером в один пиксель, указывающее на файл на сервере атакующего через WebDAV — способ обращения к удалённому файлу как к локальному.
Отрисовка такого окна может заставить Windows отправить на адрес атакующего ответ аутентификации NetNTLMv2 вошедшего пользователя — токен, который можно попытаться взломать офлайн или переиспользовать. Пользователь при этом ничего не увидит. Поскольку запускать программу не требовалось, машина с заблокированным бэкдором всё равно могла утечь этот токен.
Хронология уведомлений AOMEI
Лаборатория ManageEngine сообщила, что её endpoint-ПО впервые зафиксировало активность 28 мая, когда записало установку Radmin через AOMEI Backupper у двух не связанных между собой клиентов в разных странах. 7 июня о проблеме сообщил клиент, и в тот же день лаборатория уведомила AOMEI. Первое объяснение вендора: содержимое было перехвачено и изменено по пути.
Лаборатория заявила, что доказательства этого не подтверждают: обе машины получали файлы по HTTPS с собственных серверов AOMEI, из разных стран и сетей, и программа забирала пакет через обычные шаги обновления. В середине июля собственные мониторы лаборатории поймали одно из окон в момент его действия, подтвердив, что изменения отдавались со стороны AOMEI.
Mandiant уведомила AOMEI 17 июля и передала индикаторы. 29 июля AOMEI сообщила Mandiant, что приняла корректирующие меры для защиты серверов. Лаборатория ManageEngine отметила, что на момент публикации независимо не подтвердила, что компрометация локализована.
Ни один из отчётов не объясняет, как атакующий получил возможность менять файлы на серверах AOMEI. В опубликованном журнале изменений Backupper, который The Hacker News проверил 16 октября, нет изменений в способе проверки обновлений вплоть до текущего релиза 8.5.0 от 9 октября. Ни один из отчётов не указывает версию, закрывающую эту брешь.
Что проверять сейчас
Исправленный сервер не очищает уже поражённую машину. Загрузчик создавал запланированную задачу и затем возвращал локальный файл обновления к подлинному содержимому, поэтому заражённая машина может выглядеть нормально, а страница загрузок вендора — чистой.
GTIG и ManageEngine рекомендуют организациям, использующим ПО AOMEI, провести поиск по всему периоду с апреля по июль. «Организации, использующие ПО AOMEI, не могут считать себя защищёнными только потому, что вендор принял корректирующие меры на стороне сервера», — заявили GTIG и Mandiant.
Не оценивайте оповещение по текущему состоянию страницы загрузок вендора: файлы менялись обратно за минуты, и почти всё время она отдаёт подлинное содержимое, из-за чего аналитики списывали реальные детекты как ложные срабатывания. Сохраняйте файлы, закэшированные в папках самой программы, и проверяйте сетевые журналы на то, что отдавалось в точный момент срабатывания оповещения.
На конечной точке ищите:
- запланированную задачу:
RadminComponentRuntimeилиNitroRuntimeдля второго инструмента; - файл: неподписанный
upgrade-now.exeс данными издателя AOMEI либо любую программу, запускаемую из папки всплывающих оконhtmlв Backupper; - папку: файлы атакующего, размещённые в локальной папке данных приложения Radmin.
В сети блокируйте инфраструктуру атакующего, названную в обоих отчётах, а также исходящие SMB (TCP 445) и WebDAV на внешние адреса, чтобы пресечь трюк с кражей учётных данных:
- домены:
storage-data[.]com,promotion.storage-data[.]com,aomei.storage-data[.]com; - IP:
8.210.84[.]56,8.218.65[.]184,47.239.60[.]117.
GTIG и ManageEngine опубликовали вместе с отчётами правила обнаружения: YARA от GTIG и Sigma от лаборатории. Оба набора — собственные разработки исследователей, и The Hacker News их не тестировала.
Частые вопросы
Кого касается эта атака?
Всех, у кого установлен и работает AOMEI Backupper, а также организации, которые использовали программу с апреля по июль 2026 года. По данным GTIG, пострадали компании в ИТ-услугах, телекоммуникациях и высшем образовании в 11 странах.
В AOMEI Backupper нашли уязвимость?
Нет. Уязвимости в продукте не было, и никаких действий пользователя не требовалось. Атакующие меняли два текстовых файла на серверах обновлений вендора, а программа забирала и запускала подменённый пакет штатным механизмом обновления.
Какие версии Backupper затронуты?
Ни в отчёте GTIG, ни в отчёте ManageEngine конкретные версии не указаны. Лаборатория исследовала версию 8.3.0. В журнале изменений Backupper по состоянию на 16 октября нет изменений в проверке обновлений вплоть до релиза 8.5.0 от 9 октября.
Достаточно ли обновить AOMEI Backupper, чтобы устранить угрозу?
Нет. Исправление на стороне серверов не удаляет бэкдор с уже поражённых машин. Загрузчик возвращал локальный файл обновления к подлинному виду, поэтому заражение может не бросаться в глаза.
Как понять, что машина была скомпрометирована?
Ищите запланированную задачу RadminComponentRuntime (или NitroRuntime для второго инструмента), неподписанный upgrade-now.exe с данными издателя AOMEI, любые программы, запускаемые из папки всплывающих окон html в Backupper, и файлы атакующего в локальной папке данных приложения Radmin.
Что делать, если обновиться нельзя?
Блокируйте инфраструктуру атакующего по доменам и IP из отчётов, а также исходящие SMB (TCP 445) и WebDAV на внешние адреса — это закрывает трюк с кражей токена NetNTLMv2. Проверяйте сетевые журналы за период срабатывания оповещений.
Почему детекты списывали на ложные срабатывания?
Потому что подменённые файлы возвращались к исходному виду за минуты, и страница загрузок вендора почти всё время отдаёт подлинное содержимое. Судить об оповещении по её текущему состоянию нельзя — нужно смотреть, что отдавалось в конкретный момент.
Можно ли обойтись без переустановки системы?
Отчёты этого не описывают. GTIG и ManageEngine рекомендуют провести поиск по всем затронутым машинам за период с апреля по июль; решение о переустановке принимается по результатам проверки.
Есть ли готовые правила обнаружения?
Да. GTIG опубликовала YARA-правила, лаборатория ManageEngine — Sigma-правила. Оба набора — разработки самих исследователей и не тестировались The Hacker News.
Связана ли атака с AnyViewer?
GTIG указывает, что AnyViewer, инструмент удалённого доступа AOMEI, использует тот же механизм обновлений, но все описанные детекты касаются Backupper.
Источник: thehackernews.com