AOMEI-Updates: Minuten reichten für eine Hintertür

Von April bis Juli 2026 manipulierte die Gruppe UNC7017 die Updatekonfigurationen von AOMEI-Software jeweils nur fünf bis zehn Minuten lang. Auf diesem Weg erreichten der Downloader CROSSROAD und die Hintertür SHINYROAD Organisationen in elf Ländern. Eine Reparatur auf Serverseite entfernt die Schadsoftware von den Endgeräten nicht.

Verwandt: KnowBe4: Ein Link startet drei Phishing-Wege  ·  Wenn der Pentest-Agent die Seiten wechselt

Ein Fenster von wenigen Minuten

Die Updatekonfiguration einer Software ist eine unscheinbare Datei. Sie teilt dem installierten Programm mit, was es von wo abholen soll. Bei AOMEI, dem Hersteller der Sicherungssoftware AOMEI Backupper, wurde genau diese Datei zwischen April und Juli 2026 zum Einfallstor.

Die als UNC7017 geführte Gruppe veränderte die Konfiguration immer wieder für kurze Zeit, wie Mandiant und die Google Threat Intelligence Group dokumentieren. Danach stand wieder die ursprüngliche Fassung bereit. Rechner, die in diesen Zeitfenstern die Konfiguration abriefen, erhielten die präparierte Version. Anhand verfügbarer Telemetrie, also der von Sicherheitsprodukten gesammelten Betriebsdaten, wurden betroffene Organisationen in elf Ländern identifiziert.

Was ist ein Lieferkettenangriff? Bei einem Lieferkettenangriff kompromittieren Angreifer einen Hersteller, einen Dienstleister oder deren Verteilwege. Die Schadsoftware erreicht die eigentlichen Ziele dann über einen Kanal, dem diese vertrauen. Im Fall AOMEI war dieser Kanal die Updatekonfiguration der Software.

Ein Werbekanal ohne Echtheitsprüfung

Für den Angriff war keine Schwachstelle nötig. UNC7017 missbrauchte den Promotionskanal, den AOMEI in seiner Software vorgesehen hat. Die Nutzer mussten dafür nichts zusätzlich anklicken oder bestätigen.

Der Client authentifizierte die Konfigurationsdateien nicht kryptografisch. Er konnte also nicht feststellen, ob eine Datei tatsächlich vom Hersteller stammte. Zwar enthielt die Konfiguration eine Prüfsumme für das herunterzuladende Archiv. Diese Prüfsumme stand allerdings in derselben ungeschützten Datei wie die Downloadadresse. Wer die Adresse austauschen konnte, konnte auch die passende Prüfsumme eintragen.

Der Dropper, ein Programm, das weitere Schadsoftware auf dem System ablegt, brachte keinen eigenen Mechanismus zur Rechteausweitung mit. Er erbte die Berechtigungen des AOMEI-Prozesses, der ihn startete.

Hintertür mit ausgehender Verbindung

Über die Angriffskette gelangten zwei Werkzeuge auf die Rechner. CROSSROAD ist ein Downloader, er lädt weitere Komponenten nach. SHINYROAD ist ein modulares Hintertür-Framework, dessen Funktionen sich aus einzelnen Bausteinen zusammensetzen.

In den Fällen, die das ManageEngine Threat Analysis Lab (METAL) untersucht hat, lief der Fernzugriff über eine separate ausgehende Verbindung. Diese Verbindung baute das Implantat auf, also die auf dem Rechner platzierte Schadsoftware. Der Kontakt zu den Angreifern ging damit vom infizierten System selbst aus.

Korrekturen ohne unabhängige Prüfung

Mandiant benachrichtigte AOMEI am 17. Juli 2026. Am 29. Juli 2026 meldete der Hersteller an Mandiant erfolgte Korrekturmaßnahmen. Bei Veröffentlichung der METAL-Untersuchung vor wenigen Tagen war noch nicht unabhängig geprüft, ob diese Maßnahmen die Kompromittierung eindämmen.

Für Organisationen mit AOMEI-Software ändert eine Reparatur beim Hersteller ohnehin wenig am eigenen Bestand. Serverseitige Korrekturen beseitigen keine Schadsoftware, die bereits auf Endgeräten installiert ist.

Rückwirkende Suche bis April

Organisationen mit AOMEI-Software sollen ihre Endgeräte und Netzwerkdaten für den Zeitraum April bis Juli 2026 rückwirkend untersuchen. Grundlage sind die von Mandiant veröffentlichten Indikatoren und YARA-Regeln. Indikatoren sind technische Spuren eines Angriffs wie Dateimerkmale oder Netzwerkadressen. YARA-Regeln beschreiben Muster, an denen sich Schaddateien erkennen lassen.

Die METAL-Forscher raten außerdem, zwischengespeicherte Dateien der Anwendung zu sichern. Alarmzeitpunkte aus den Sicherheitssystemen sollen Verantwortliche mit Netzwerkprotokollen abgleichen. Die Opferauswahl der Kampagne war opportunistisch. Der tatsächlich betroffene Kreis reicht wahrscheinlich über die bisher identifizierten Organisationen hinaus.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Sind Organisationen im deutschsprachigen Raum betroffen?

Unter den elf Ländern, in denen betroffene Organisationen identifiziert wurden, ist die Schweiz. Die Liste beruht auf verfügbarer Telemetrie für den Zeitraum April bis Juli 2026.

Schließt AOMEI Backupper 8.5.0 die Lücke im Updatekanal?

Mit Version 8.5.0 erhielt AOMEI Backupper am 9. Oktober 2026 Fehlerkorrekturen für Backup, Klonen und Wiederherstellung. Eine Korrektur der Updateauthentifizierung ist im zugehörigen Änderungseintrag nicht ausgewiesen.

Welche Rolle spielt der installierte Radmin Server?

Auf den untersuchten Systemen war ein Radmin Server installiert, ein Werkzeug für Fernzugriff. In der METAL-Untersuchung war er nicht nachweislich aktiv. Der Fernzugriff lief dort über die Verbindung des Implantats.

Lesetipps der Redaktion

LesetippOpenSSL: Was Hersteller jetzt nachweisen müssenLesetippSimon Gooch: KI-Agenten brauchen einen getesteten StoppLesetippWenn gekaufte KI-Router Schadcode einschleusen

Mehr aus dem MBF Media Netzwerk

cloudmagazinGoogle kontert Meta mit Spitzen-KI zum halben Preis MyBusinessFutureNachfolge: Käufer brauchen die Bankzusage vor dem Termin Digital ChiefsMicrosoft: Deutschland ist EU-Spitze bei Cyberangriffen

Bildquelle: KI-generiert (Oktober 2026)