Des pirates détournent les serveurs d'AOMEI pour diffuser un malware via Backupper
Les chercheurs de ManageEngine ont détecté le 28 mai des installations de Radmin par AOMEI Backupper chez deux entreprises, liées au groupe UNC7017.
Des pirates ont compromis les serveurs d'AOMEI pour diffuser un logiciel malveillant via les systèmes de promotion et de notification intégrés à AOMEI Backupper, selon des chercheurs du Threat Analysis Lab de ManageEngine, en collaboration avec le Threat Intelligence Group de Google et Mandiant. L'activité est attribuée à un acteur de menace suivi sous le nom d'UNC7017.
UNC7017 a distribué un téléchargeur de malware jusque-là inconnu, nommé CROSSROAD, ainsi qu'une porte dérobée appelée SHINYROAD. Des organisations affectées ont été identifiées aux États-Unis, en Australie, en Inde, à Singapour, en Espagne et en Suisse, dans les services informatiques, les télécommunications et l'enseignement supérieur.
ManageEngine a détecté les attaques pour la première fois le 28 mai, lorsque son logiciel de sécurité des points de terminaison a observé AOMEI Backupper installer Radmin chez deux entreprises non liées situées dans des pays différents. Les attaquants ont brièvement modifié deux fichiers de configuration d'AOMEI, down_html.ini et Notifycfg.ini. Ces modifications ont redirigé AOMEI Backupper vers le téléchargement d'une archive ZIP malveillante et ont utilisé le mécanisme de notification pour exécuter le malware sans interaction de l'utilisateur.
Les attaquants ont également modifié la somme de contrôle attendue dans la configuration de mise à jour afin que l'archive malveillante passe la vérification des fichiers. Les chercheurs ont identifié trois fenêtres d'exposition : le 28 mai (05:40–05:50 UTC), le 16 juillet (08:33–08:39 UTC) et le 20 juillet (10:35–10:40 UTC). Les fichiers de configuration ont été restaurés dans leur état d'origine en quelques minutes.
Tentative de vol de hachages d'authentification
Lors de l'attaque du 20 juillet, Google a observé une tentative de vol de hachages d'authentification Windows via une fenêtre contextuelle invisible accédant à une ressource WebDAV contrôlée par l'attaquant. Entre avril et juillet 2026, des attaques de la chaîne d'approvisionnement ont ciblé les systèmes de mise à jour et de notification utilisés par AOMEI Backupper.
En bref
Quels logiciels malveillants ont été distribués via AOMEI Backupper ?
Un téléchargeur de malware nommé CROSSROAD et une porte dérobée appelée SHINYROAD, selon les chercheurs de ManageEngine.
Quand les attaques ont-elles eu lieu ?
Trois fenêtres d'exposition ont été identifiées : le 28 mai (05:40–05:50 UTC), le 16 juillet (08:33–08:39 UTC) et le 20 juillet (10:35–10:40 UTC).
Quels pays ont été touchés ?
Des organisations affectées ont été identifiées aux États-Unis, en Australie, en Inde, à Singapour, en Espagne et en Suisse.