{"id":26647,"date":"2026-10-22T09:47:52","date_gmt":"2026-10-22T09:47:52","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=26647"},"modified":"2026-11-13T14:25:34","modified_gmt":"2026-11-13T14:25:34","slug":"aomei-minutos-bastaron-puerta-trasera","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/10\/22\/aomei-minutos-bastaron-puerta-trasera\/","title":{"rendered":"AOMEI: minutos bastaron para instalar una puerta trasera"},"content":{"rendered":"<p><strong>De abril a julio de 2026, el grupo UNC7017 manipul\u00f3 las configuraciones de actualizaci\u00f3n del software de AOMEI durante solo cinco a diez minutos cada vez. Por esta v\u00eda, el descargador CROSSROAD y la puerta trasera SHINYROAD alcanzaron a organizaciones de once pa\u00edses. Una reparaci\u00f3n en el lado del servidor no elimina el malware de los equipos.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Cada manipulaci\u00f3n permaneci\u00f3 activa solo minutos.<\/strong> Entre abril y julio de 2026, UNC7017 difundi\u00f3 as\u00ed el descargador CROSSROAD y la puerta trasera modular SHINYROAD.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">El ataque funcion\u00f3 sin ning\u00fan fallo de software.<\/strong> El cliente no verificaba criptogr\u00e1ficamente sus archivos de configuraci\u00f3n: la suma de verificaci\u00f3n estaba en el mismo archivo desprotegido que la direcci\u00f3n de descarga.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">Un servidor reparado no limpia los equipos.<\/strong> Las organizaciones con software de AOMEI deben analizar retrospectivamente sus equipos y datos de red de abril a julio de 2026.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> KnowBe4: un enlace inicia tres rutas de phishing &nbsp;\u00b7&nbsp; Cuando el agente de pentest cambia de bando<\/p>\n<h2>Una ventana de pocos minutos<\/h2>\n<p>La configuraci\u00f3n de actualizaci\u00f3n de un programa es un archivo que suele pasar inadvertido. Indica al programa instalado qu\u00e9 debe descargar y desde d\u00f3nde. En AOMEI, el fabricante del software de copia de seguridad AOMEI Backupper, precisamente este archivo se convirti\u00f3 en la puerta de entrada entre abril y julio de 2026.<\/p>\n<p>El grupo conocido como UNC7017 modific\u00f3 la configuraci\u00f3n repetidamente durante breves periodos, como documentan <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/investigating-ephemeral-supply-chain-tampering\/\">Mandiant y el Google Threat Intelligence Group<\/a>. Despu\u00e9s, la versi\u00f3n original volv\u00eda a estar disponible. Los equipos que consultaban la configuraci\u00f3n en esas ventanas de tiempo recib\u00edan la versi\u00f3n manipulada. Sobre la base de la telemetr\u00eda disponible, es decir, los datos operativos recopilados por productos de seguridad, se identificaron organizaciones afectadas en once pa\u00edses.<\/p>\n<p><strong>\u00bfQu\u00e9 es un ataque a la cadena de suministro?<\/strong> En un ataque a la cadena de suministro, los atacantes comprometen a un fabricante, un proveedor de servicios o sus canales de distribuci\u00f3n. El malware llega entonces a los objetivos reales a trav\u00e9s de un canal en el que estos conf\u00edan. En el caso de AOMEI, ese canal era la configuraci\u00f3n de actualizaci\u00f3n del software.<\/p>\n<h2>Un canal promocional sin verificaci\u00f3n de autenticidad<\/h2>\n<p>Para el ataque <a href=\"https:\/\/www.manageengine.com\/threat-analysis-lab\/aomei-backupper-supply-chain-compromise.html\">no hizo falta ninguna vulnerabilidad<\/a>. UNC7017 abus\u00f3 del canal promocional que AOMEI ha previsto en su software. Los usuarios no tuvieron que hacer clic ni confirmar nada adicional.<\/p>\n<p>El cliente no autenticaba criptogr\u00e1ficamente los archivos de configuraci\u00f3n. Por tanto, no pod\u00eda determinar si un archivo proced\u00eda realmente del fabricante. Aunque la configuraci\u00f3n conten\u00eda una suma de verificaci\u00f3n para el archivo que deb\u00eda descargarse, esa suma se encontraba en el mismo archivo desprotegido que la direcci\u00f3n de descarga. Quien pod\u00eda sustituir la direcci\u00f3n tambi\u00e9n pod\u00eda anotar la suma de verificaci\u00f3n correspondiente.<\/p>\n<p>El dropper, un programa que deposita m\u00e1s malware en el sistema, no tra\u00eda ning\u00fan mecanismo propio para escalar privilegios. Heredaba los permisos del proceso de AOMEI que lo iniciaba.<\/p>\n<h2>Puerta trasera con conexi\u00f3n saliente<\/h2>\n<p>Por la cadena de ataque llegaron dos herramientas a los equipos. CROSSROAD es un descargador: descarga componentes adicionales. SHINYROAD es un framework modular de puerta trasera cuyas funciones se componen de m\u00f3dulos individuales.<\/p>\n<p>En los casos que el ManageEngine Threat Analysis Lab (METAL) ha investigado, el acceso remoto discurri\u00f3 por una conexi\u00f3n saliente separada. Esta conexi\u00f3n la establec\u00eda el implante, es decir, el malware colocado en el equipo. El contacto con los atacantes part\u00eda as\u00ed del propio sistema infectado.<\/p>\n<h2>Correcciones sin verificaci\u00f3n independiente<\/h2>\n<p>Mandiant notific\u00f3 a AOMEI el 17 de julio de 2026. El 29 de julio de 2026, el fabricante comunic\u00f3 a Mandiant las medidas de correcci\u00f3n realizadas. Al publicarse la investigaci\u00f3n de METAL, hace pocos d\u00edas, a\u00fan no se hab\u00eda comprobado de forma independiente si estas medidas permit\u00edan contener la intrusi\u00f3n.<\/p>\n<p>Para las organizaciones con software de AOMEI, una reparaci\u00f3n por parte del fabricante cambia poco en su propio parque instalado. Las correcciones en el servidor no eliminan el malware que ya est\u00e1 instalado en los equipos.<\/p>\n<h2>B\u00fasqueda retrospectiva hasta abril<\/h2>\n<p>Las organizaciones con software de AOMEI deben analizar retrospectivamente sus equipos y datos de red del periodo de abril a julio de 2026. La base son los <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/investigating-ephemeral-supply-chain-tampering\/\">indicadores y reglas YARA publicados por Mandiant<\/a>. Los indicadores son rastros t\u00e9cnicos de un ataque, como caracter\u00edsticas de archivos o direcciones de red. Las reglas YARA describen patrones con los que se pueden reconocer archivos maliciosos.<\/p>\n<p>Los <a href=\"https:\/\/www.manageengine.com\/threat-analysis-lab\/aomei-backupper-supply-chain-compromise.html\">investigadores de METAL<\/a> recomiendan adem\u00e1s conservar los archivos en cach\u00e9 de la aplicaci\u00f3n. Los responsables deben cotejar las horas en que se generaron las alertas de los sistemas de seguridad con los registros de red. La selecci\u00f3n de v\u00edctimas de la campa\u00f1a fue oportunista. Es probable que tambi\u00e9n haya organizaciones afectadas que a\u00fan no se hayan identificado.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Al tocarla se desbloquea la respuesta.<\/p>\n<details>\n<summary><strong>\u00bfEst\u00e1n afectadas organizaciones en el \u00e1mbito de habla alemana?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Entre los once pa\u00edses en los que se identificaron organizaciones afectadas est\u00e1 Suiza. La lista se basa en la telemetr\u00eda disponible para el periodo de abril a julio de 2026.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfCierra AOMEI Backupper 8.5.0 la brecha del canal de actualizaci\u00f3n?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Con la versi\u00f3n 8.5.0, AOMEI Backupper recibi\u00f3 el 9 de octubre de 2026 correcciones de errores para copia de seguridad, clonaci\u00f3n y restauraci\u00f3n. Una correcci\u00f3n de la autenticaci\u00f3n de actualizaciones no figura en la <a href=\"https:\/\/www.ubackup.com\/changelog.html\">entrada de cambios<\/a> correspondiente.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 papel desempe\u00f1a el Radmin Server instalado?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">En los sistemas investigados hab\u00eda un Radmin Server instalado, una herramienta de acceso remoto. En la investigaci\u00f3n de METAL no consta que estuviera activo. El acceso remoto discurri\u00f3 all\u00ed por la conexi\u00f3n del implante.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=es--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generado por IA (octubre 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"El grupo UNC7017 manipul\u00f3 durante minutos las configuraciones de actualizaci\u00f3n de AOMEI. Hay organizaciones afectadas en once pa\u00edses.","protected":false},"author":10,"featured_media":25004,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Software AOMEI","_yoast_wpseo_title":"Actualizaciones de AOMEI: puerta trasera en minutos","_yoast_wpseo_metadesc":"El grupo UNC7017 manipul\u00f3 configuraciones de actualizaci\u00f3n de AOMEI durante minutos. Las organizaciones afectadas se hallaron en once pa\u00edses.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[253],"tags":[],"class_list":["post-26647","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualidad"],"evm_reading_time_minutes":6,"wpml_language":"es","wpml_translation_of":24995,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26647","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=26647"}],"version-history":[{"count":27,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26647\/revisions"}],"predecessor-version":[{"id":27134,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26647\/revisions\/27134"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/25004"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=26647"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=26647"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=26647"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}