AOMEI: minutos bastaron para instalar una puerta trasera

De abril a julio de 2026, el grupo UNC7017 manipuló las configuraciones de actualización del software de AOMEI durante solo cinco a diez minutos cada vez. Por esta vía, el descargador CROSSROAD y la puerta trasera SHINYROAD alcanzaron a organizaciones de once países. Una reparación en el lado del servidor no elimina el malware de los equipos.

Relacionado: KnowBe4: un enlace inicia tres rutas de phishing  ·  Cuando el agente de pentest cambia de bando

Una ventana de pocos minutos

La configuración de actualización de un programa es un archivo que suele pasar inadvertido. Indica al programa instalado qué debe descargar y desde dónde. En AOMEI, el fabricante del software de copia de seguridad AOMEI Backupper, precisamente este archivo se convirtió en la puerta de entrada entre abril y julio de 2026.

El grupo conocido como UNC7017 modificó la configuración repetidamente durante breves periodos, como documentan Mandiant y el Google Threat Intelligence Group. Después, la versión original volvía a estar disponible. Los equipos que consultaban la configuración en esas ventanas de tiempo recibían la versión manipulada. Sobre la base de la telemetría disponible, es decir, los datos operativos recopilados por productos de seguridad, se identificaron organizaciones afectadas en once países.

¿Qué es un ataque a la cadena de suministro? En un ataque a la cadena de suministro, los atacantes comprometen a un fabricante, un proveedor de servicios o sus canales de distribución. El malware llega entonces a los objetivos reales a través de un canal en el que estos confían. En el caso de AOMEI, ese canal era la configuración de actualización del software.

Un canal promocional sin verificación de autenticidad

Para el ataque no hizo falta ninguna vulnerabilidad. UNC7017 abusó del canal promocional que AOMEI ha previsto en su software. Los usuarios no tuvieron que hacer clic ni confirmar nada adicional.

El cliente no autenticaba criptográficamente los archivos de configuración. Por tanto, no podía determinar si un archivo procedía realmente del fabricante. Aunque la configuración contenía una suma de verificación para el archivo que debía descargarse, esa suma se encontraba en el mismo archivo desprotegido que la dirección de descarga. Quien podía sustituir la dirección también podía anotar la suma de verificación correspondiente.

El dropper, un programa que deposita más malware en el sistema, no traía ningún mecanismo propio para escalar privilegios. Heredaba los permisos del proceso de AOMEI que lo iniciaba.

Puerta trasera con conexión saliente

Por la cadena de ataque llegaron dos herramientas a los equipos. CROSSROAD es un descargador: descarga componentes adicionales. SHINYROAD es un framework modular de puerta trasera cuyas funciones se componen de módulos individuales.

En los casos que el ManageEngine Threat Analysis Lab (METAL) ha investigado, el acceso remoto discurrió por una conexión saliente separada. Esta conexión la establecía el implante, es decir, el malware colocado en el equipo. El contacto con los atacantes partía así del propio sistema infectado.

Correcciones sin verificación independiente

Mandiant notificó a AOMEI el 17 de julio de 2026. El 29 de julio de 2026, el fabricante comunicó a Mandiant las medidas de corrección realizadas. Al publicarse la investigación de METAL, hace pocos días, aún no se había comprobado de forma independiente si estas medidas permitían contener la intrusión.

Para las organizaciones con software de AOMEI, una reparación por parte del fabricante cambia poco en su propio parque instalado. Las correcciones en el servidor no eliminan el malware que ya está instalado en los equipos.

Búsqueda retrospectiva hasta abril

Las organizaciones con software de AOMEI deben analizar retrospectivamente sus equipos y datos de red del periodo de abril a julio de 2026. La base son los indicadores y reglas YARA publicados por Mandiant. Los indicadores son rastros técnicos de un ataque, como características de archivos o direcciones de red. Las reglas YARA describen patrones con los que se pueden reconocer archivos maliciosos.

Los investigadores de METAL recomiendan además conservar los archivos en caché de la aplicación. Los responsables deben cotejar las horas en que se generaron las alertas de los sistemas de seguridad con los registros de red. La selección de víctimas de la campaña fue oportunista. Es probable que también haya organizaciones afectadas que aún no se hayan identificado.

Preguntas frecuentes

Cada pregunta está cerrada. Al tocarla se desbloquea la respuesta.

¿Están afectadas organizaciones en el ámbito de habla alemana?

Entre los once países en los que se identificaron organizaciones afectadas está Suiza. La lista se basa en la telemetría disponible para el periodo de abril a julio de 2026.

¿Cierra AOMEI Backupper 8.5.0 la brecha del canal de actualización?

Con la versión 8.5.0, AOMEI Backupper recibió el 9 de octubre de 2026 correcciones de errores para copia de seguridad, clonación y restauración. Una corrección de la autenticación de actualizaciones no figura en la entrada de cambios correspondiente.

¿Qué papel desempeña el Radmin Server instalado?

En los sistemas investigados había un Radmin Server instalado, una herramienta de acceso remoto. En la investigación de METAL no consta que estuviera activo. El acceso remoto discurrió allí por la conexión del implante.

Fuente de la imagen: generado por IA (octubre 2026)

Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.