Обновление AOMEI Backupper 5–10 минут раздавало бэкдор: атакующий подменял конфиги и сразу возвращал чистые
Окно подмены длилось минуты, поэтому проверка сайта вендора ничего не показывала, а чистить пришлось машины, получившие обновление.
15 октября 2026 года Google Threat Intelligence Group и Mandiant опубликовали разбор взлома инфраструктуры обновлений AOMEI Technology, компании, которая делает программы для резервного копирования AOMEI Backupper и удалённого доступа AnyViewer. С апреля по июль 2026 года группировка, которую Google называет UNC7017, подменяла файлы на серверах вендора, но не насовсем: на 5–10 минут. Потом всё возвращалось как было.
Для компании это значит простую вещь: программа, которая сама ходит за обновлениями, может притащить чужой код, даже если официальный сайт вендора в этот момент выглядит чистым. А бэкап-софт обычно стоит на машинах с доступом ко всем данным.
Атакующие подменяли не программу, а адрес, откуда её качать
Клиенты AOMEI (Backupper.exe и ABNotify.exe) периодически спрашивают сервер вендора по HTTPS о двух конфигурационных файлах. В down_html.ini лежат версия, контрольная сумма MD5 пакета и ссылка на архив upgrade-now.zip. В Notifycfg.ini — тексты всплывающих окон и команды, которые клиент должен выполнить локально.
В окне подмены атакующие меняли ссылку на свой сервер, подставляли версию и MD5 своего архива и правили Notifycfg.ini так, чтобы клиент сразу запустил upgrade-now.exe. В файле от 16 июля, по данным Google, было больше 35 000 секций [dummy_XXXXXX] — они нужны, чтобы обойти штатную проверку версий, и обновление ставилось независимо от установленной версии. Номер сборки в конфиге (thrid) тоже увеличивали: с 5 до 6, а затем до 7.
Дальше по цепочке шёл загрузчик CROSSROAD (маленькая программа, которая тянет остальное), затем бэкдор SHINYROAD (скрытый удалённый доступ к машине), модифицированный Radmin Server и агент Adaptix C2 — управляющий каркас, который маскировался под Nitro PDF. Загрузчик ставил задачу в планировщике, запускавшуюся каждые три часа, и сам себя удалял. Ещё он возвращал локальный down_html.ini к исходному виду, чтобы на машине не осталось следа подмены.
Короткое окно ломает привычную проверку
Окна, которые Google привёл в отчёте: 28 мая с 05:40 до 05:50 UTC (10 минут), 16 июля с 08:33 до 08:39 UTC (6 минут), 20 июля с 10:35 до 10:40 UTC (5 минут). Вне окон серверы отдавали настоящие файлы. Google пишет, что раньше не видел компрометации цепочки поставок с такими короткими окнами, и что были и другие окна, которых аналитики не заметили.
Следствие: если антивирус или SOC (команда, которая разбирает тревоги безопасности) получили сигнал и через час открыли URL вендора, там уже лежал чистый файл. Сканер файлов на стороне сервера тоже мог ничего не поймать. Заметили активность по телеметрии EDR (агент на рабочих машинах): в конце мая её увидела лаборатория METAL из Zoho в нескольких клиентских средах.
17 июля Mandiant уведомила AOMEI о взломе, 29 июля компания ответила, что исправления сделаны. Но Google отдельно подчёркивает: правка на серверах не лечит машины, которые уже скачали вредоносное обновление.
Отдельный трюк — кража паролей без запуска программы
20 июля атакующие подменили в Notifycfg.ini рекламный баннер на всплывающее окно размером 1×1 пиксель, которое открывало сетевой путь на их сервер. Windows при этом сама отправляет хеш NTLMv2 (производное от пароля пользователя, которое можно пытаться подобрать). Так хеши уходили на сервер атакующих без видимых действий пользователя.
Что проверить у себя
- Выяснить, стояли ли на машинах AOMEI Backupper или AnyViewer в период с апреля по июль 2026 года и обновлялись ли они в это время. Чистый сайт вендора сегодня ничего не доказывает.
- Поискать на таких машинах задачи планировщика RadminComponentRuntime и NitroRuntime, папки %LOCALAPPDATA%\Radmin\ и %LOCALAPPDATA%\Nitro Pro\, а также файл BlkScrDl.dll. Полный список хешей, адресов и доменов — в отчёте Google.
- Поднять журналы прокси и межсетевого экрана за апрель–июль и поискать обращения к storage-data.com, storage.googleapis.com/aomeiupdate/ и IP 8.210.84.56 и 8.218.65.184.
- Закрыть исходящие SMB (TCP 445) и WebDAV во внешнюю сеть: это отрезает кражу NTLM-хешей через всплывающие окна.
- Если следы нашлись, считать машину скомпрометированной, а пароли учётных записей, которые на ней работали, — подлежащими смене.
- Для любых программ с автообновлением ограничить выход в интернет списком адресов вендора и разделять обновления и рекламные уведомления, если это возможно настроить.
Разборы аварий и практику для админов публикуем в Telegram-канале «Полный Ops».