В период с мая по июль 2026 года злоумышленники несколько раз меняли файлы на серверах обновлений AOMEI Technology. Подмена держалась всего пять–десять минут: компьютер, запросивший обновление в это окно, мог получить и запустить бэкдор. Кампанию раскрыли Google Threat Intelligence Group (GTIG), Mandiant и Threat Analysis Lab компании ManageEngine. AOMEI сообщила, что приняла меры для защиты серверов, но это не удаляет вредоносные программы с уже заражённых компьютеров.
Исследователи не обнаружили эксплуатации уязвимости в программе. Пользователю не требовалось открывать подозрительное вложение или подтверждать установку: достаточно было, чтобы AOMEI Backupper был установлен и работал. Нападавшие меняли два текстовых файла на сервере, однако отчёты не объясняют, каким образом они получили возможность это делать.
AOMEI Backupper — программа для Windows, предназначенная для резервного копирования и клонирования дисков. Её выпускает AOMEI Technology, зарегистрированная в Гонконге. Как и инструмент удалённого доступа AnyViewer, Backupper использует фоновые службы: по HTTPS они обращаются к серверам AOMEI за обновлениями и настройками рекламных уведомлений.
За процесс отвечают два файла.
GTIG и Mandiant подтвердили три окна подмены, но допускают, что были и другие:
Загрузчик, названный GTIG CROSSROAD, распаковывал набор файлов в локальную папку Radmin, создавал задачу планировщика Windows с запуском каждые три часа и затем удалял собственный файл. В набор входила подлинная подписанная копия коммерческой программы удалённого администрирования Radmin. По данным ManageEngine, её разместили на компьютере, но не включили: лаборатория не нашла ни слушающего порта, ни конфигурации, ни созданной учётной записи. Управление обеспечивал другой имплант. Задача запускала Radmin, тот загружал помещённую рядом вредоносную DLL, а DLL — SHINYROAD. Имплант открывал удалённую командную оболочку и позволял загружать и запускать новый код. Он связывался с одним жёстко заданным адресом, без резервного сервера; блокировка этого адреса прерывала управление.
CROSSROAD проверял окружение и не запускался, если обнаруживал, что компьютер находится в Китае. ManageEngine также сообщила о проверке на отдельные средства защиты. На системах, прошедших эти проверки, GTIG позднее обнаружила ещё один инструмент — открытый фреймворк Adaptix C2, замаскированный под Nitro PDF. AnyViewer, по данным GTIG, использует тот же механизм обновления, но описанные в отчётах срабатывания связаны с Backupper. Все затронутые версии программы исследователи не перечислили; лаборатория ManageEngine изучала версию 8.3.0.
Во время окна 20 июля изменили и файл уведомлений: он открывал невидимое всплывающее окно размером в один пиксель. Через WebDAV окно обращалось к файлу на сервере злоумышленников. При отображении Windows мог незаметно отправить туда NetNTLMv2-ответ пользователя, вошедшего в систему. Полученный токен можно было попытаться взломать офлайн или использовать повторно. Для этой кражи учётных данных не требовалось запускать программу, поэтому блокировка бэкдора сама по себе не гарантировала защиты.
Первое обнаружение датируется 28 мая 2026 года: средства ManageEngine заметили, что Backupper устанавливает Radmin у двух не связанных друг с другом клиентов в разных странах. 7 июня клиент сообщил о проблеме, и лаборатория ManageEngine в тот же день уведомила AOMEI. Компания сначала предположила, что содержимое перехватили и изменили при передаче. Однако исследование показало, что оба компьютера скачали файлы по HTTPS с собственных серверов AOMEI, находились в разных странах и сетях, а пакет прошёл через штатный механизм обновления Backupper. В середине июля мониторинг ManageEngine зафиксировал подмену в реальном времени. 17 июля Mandiant передала AOMEI уведомление и индикаторы компрометации; 29 июля компания сообщила об исправительных мерах. На момент публикации лаборатория ManageEngine независимо не подтвердила, что компрометация серверов устранена.
The Hacker News проверила журнал изменений Backupper 16 октября. До версии 8.5.0 включительно там не было упоминаний о смене механизма проверки обновлений; версия 8.5.0 вышла 9 октября. Ни один из отчётов не называет версию, в которой устранён недостаток проверки подлинности файлов.
Организациям, использовавшим AOMEI, советуют проверять компьютеры за весь период с апреля по июль. Серверное исправление не очищает уже заражённые устройства. CROSSROAD после создания задачи восстанавливал локальный файл обновления до подлинного содержимого, поэтому компьютер мог выглядеть нормально, а страница загрузки AOMEI — показывать чистые файлы. Исследователи предупреждают: «Организации, использующие программы AOMEI, не могут считать себя защищёнными лишь потому, что поставщик принял меры на стороне серверов». Чистая страница загрузки не опровергает срабатывание: файлы возвращались к исходному виду через несколько минут, и это заставляло аналитиков ошибочно списывать реальные обнаружения на ложные тревоги.
При расследовании следует сохранить кэшированные файлы из папок программы и сопоставить сетевые журналы с точным временем срабатывания. Проверьте локальную папку данных Radmin и любые исполняемые файлы в каталоге всплывающих окон Backupper с именем
Изображение носит иллюстративный характер
Исследователи не обнаружили эксплуатации уязвимости в программе. Пользователю не требовалось открывать подозрительное вложение или подтверждать установку: достаточно было, чтобы AOMEI Backupper был установлен и работал. Нападавшие меняли два текстовых файла на сервере, однако отчёты не объясняют, каким образом они получили возможность это делать.
AOMEI Backupper — программа для Windows, предназначенная для резервного копирования и клонирования дисков. Её выпускает AOMEI Technology, зарегистрированная в Гонконге. Как и инструмент удалённого доступа AnyViewer, Backupper использует фоновые службы: по HTTPS они обращаются к серверам AOMEI за обновлениями и настройками рекламных уведомлений.
За процесс отвечают два файла.
down_html.ini указывает, какой пакет скачать, и содержит его контрольную сумму; Notifycfg.ini задаёт содержимое всплывающего окна и команду для запуска. Программа не проверяет подлинность этих файлов криптографической подписью. Более того, контрольная сумма находится в том же неподписанном файле, что и адрес пакета. Заражённый Backupper скачивал файл в собственную папку, после чего настройка уведомлений запускала его. Пакет получал права процесса AOMEI; на исследованных ManageEngine компьютерах этого хватало для установки программ по всей системе, хотя результат зависел от прав службы. GTIG и Mandiant подтвердили три окна подмены, но допускают, что были и другие:
- []28 мая 2026 года, 05:40–05:50 UTC — 10 минут;
[]16 июля 2026 года, 08:33–08:39 UTC — 6 минут;
[]20 июля 2026 года, 10:35–10:40 UTC — 5 минут.
Загрузчик, названный GTIG CROSSROAD, распаковывал набор файлов в локальную папку Radmin, создавал задачу планировщика Windows с запуском каждые три часа и затем удалял собственный файл. В набор входила подлинная подписанная копия коммерческой программы удалённого администрирования Radmin. По данным ManageEngine, её разместили на компьютере, но не включили: лаборатория не нашла ни слушающего порта, ни конфигурации, ни созданной учётной записи. Управление обеспечивал другой имплант. Задача запускала Radmin, тот загружал помещённую рядом вредоносную DLL, а DLL — SHINYROAD. Имплант открывал удалённую командную оболочку и позволял загружать и запускать новый код. Он связывался с одним жёстко заданным адресом, без резервного сервера; блокировка этого адреса прерывала управление.
CROSSROAD проверял окружение и не запускался, если обнаруживал, что компьютер находится в Китае. ManageEngine также сообщила о проверке на отдельные средства защиты. На системах, прошедших эти проверки, GTIG позднее обнаружила ещё один инструмент — открытый фреймворк Adaptix C2, замаскированный под Nitro PDF. AnyViewer, по данным GTIG, использует тот же механизм обновления, но описанные в отчётах срабатывания связаны с Backupper. Все затронутые версии программы исследователи не перечислили; лаборатория ManageEngine изучала версию 8.3.0.
Во время окна 20 июля изменили и файл уведомлений: он открывал невидимое всплывающее окно размером в один пиксель. Через WebDAV окно обращалось к файлу на сервере злоумышленников. При отображении Windows мог незаметно отправить туда NetNTLMv2-ответ пользователя, вошедшего в систему. Полученный токен можно было попытаться взломать офлайн или использовать повторно. Для этой кражи учётных данных не требовалось запускать программу, поэтому блокировка бэкдора сама по себе не гарантировала защиты.
Первое обнаружение датируется 28 мая 2026 года: средства ManageEngine заметили, что Backupper устанавливает Radmin у двух не связанных друг с другом клиентов в разных странах. 7 июня клиент сообщил о проблеме, и лаборатория ManageEngine в тот же день уведомила AOMEI. Компания сначала предположила, что содержимое перехватили и изменили при передаче. Однако исследование показало, что оба компьютера скачали файлы по HTTPS с собственных серверов AOMEI, находились в разных странах и сетях, а пакет прошёл через штатный механизм обновления Backupper. В середине июля мониторинг ManageEngine зафиксировал подмену в реальном времени. 17 июля Mandiant передала AOMEI уведомление и индикаторы компрометации; 29 июля компания сообщила об исправительных мерах. На момент публикации лаборатория ManageEngine независимо не подтвердила, что компрометация серверов устранена.
The Hacker News проверила журнал изменений Backupper 16 октября. До версии 8.5.0 включительно там не было упоминаний о смене механизма проверки обновлений; версия 8.5.0 вышла 9 октября. Ни один из отчётов не называет версию, в которой устранён недостаток проверки подлинности файлов.
Организациям, использовавшим AOMEI, советуют проверять компьютеры за весь период с апреля по июль. Серверное исправление не очищает уже заражённые устройства. CROSSROAD после создания задачи восстанавливал локальный файл обновления до подлинного содержимого, поэтому компьютер мог выглядеть нормально, а страница загрузки AOMEI — показывать чистые файлы. Исследователи предупреждают: «Организации, использующие программы AOMEI, не могут считать себя защищёнными лишь потому, что поставщик принял меры на стороне серверов». Чистая страница загрузки не опровергает срабатывание: файлы возвращались к исходному виду через несколько минут, и это заставляло аналитиков ошибочно списывать реальные обнаружения на ложные тревоги.
При расследовании следует сохранить кэшированные файлы из папок программы и сопоставить сетевые журналы с точным временем срабатывания. Проверьте локальную папку данных Radmin и любые исполняемые файлы в каталоге всплывающих окон Backupper с именем
html. В материалах также приведён неполный индикатор: «exe, содержащий сведения об издателе AOMEI»; имя файла и полный индикатор не указаны. Для блокировки инфраструктуры исследователи назвали домены storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com и IP-адреса 8.210.84[.]56, 8.218.65[.]184, 47.239.60[.]117. Исходящие подключения SMB по TCP-порту 445 и WebDAV к внешним адресам стоит ограничить. GTIG опубликовала правила YARA, лаборатория ManageEngine — правила Sigma; The Hacker News отмечала, что издание эти правила не тестировало.
