Mises à jour AOMEI : une porte dérobée en quelques minutes

D’avril à juillet 2026, le groupe UNC7017 a manipulé les configurations de mise à jour du logiciel AOMEI, cinq à dix minutes à chaque fois. C’est ainsi que le downloader CROSSROAD et la porte dérobée SHINYROAD ont atteint des organisations dans onze pays. Une correction côté serveur ne supprime pas le logiciel malveillant des terminaux.

À lire aussi : KnowBe4 : un lien déclenche trois scénarios de phishing  ·  Quand l’agent de pentest change de camp

Une fenêtre de quelques minutes

La configuration de mise à jour d’un logiciel est un fichier discret. Elle indique au programme installé quoi récupérer, et où. Chez AOMEI, l’éditeur du logiciel de sauvegarde AOMEI Backupper, c’est précisément ce fichier qui est devenu une porte d’entrée entre avril et juillet 2026.

Le groupe désigné sous le nom UNC7017 a modifié la configuration à plusieurs reprises pour de courtes durées, comme le documentent Mandiant et le Google Threat Intelligence Group. Ensuite, la version d’origine était de nouveau en place. Les machines qui consultaient la configuration dans ces fenêtres temporelles recevaient la version piégée. Sur la base de la télémétrie disponible, c’est-à-dire des données d’exploitation collectées par les produits de sécurité, des organisations touchées ont été identifiées dans onze pays.

Qu’est-ce qu’une attaque de la chaîne d’approvisionnement ? Lors d’une telle attaque, les attaquants compromettent un éditeur, un prestataire ou leurs canaux de distribution. Le logiciel malveillant atteint ensuite les véritables cibles par un canal auquel elles font confiance. Dans le cas d’AOMEI, ce canal était la configuration de mise à jour du logiciel.

Un canal promotionnel sans contrôle d’authenticité

Pour cette attaque, aucune vulnérabilité n’était nécessaire. UNC7017 a détourné le canal promotionnel prévu par AOMEI dans son logiciel. Les utilisateurs n’avaient aucun clic supplémentaire à effectuer ni aucune confirmation à donner.

Le client n’authentifiait pas les fichiers de configuration par des moyens cryptographiques. Il ne pouvait donc pas vérifier si un fichier provenait réellement de l’éditeur. Certes, la configuration contenait une somme de contrôle pour l’archive à télécharger. Mais cette somme de contrôle figurait dans le même fichier non protégé que l’adresse de téléchargement. Celui qui pouvait remplacer l’adresse pouvait aussi y inscrire la somme de contrôle correspondante.

Le dropper, un programme qui dépose d’autres logiciels malveillants sur le système, n’embarquait aucun mécanisme propre d’élévation de privilèges. Il héritait des droits du processus AOMEI qui le lançait.

Une porte dérobée avec connexion sortante

La chaîne d’attaque a fait parvenir deux outils sur les machines. CROSSROAD est un downloader : il récupère des composants supplémentaires. SHINYROAD est un framework de porte dérobée modulaire dont les fonctions se composent de briques individuelles.

Dans les cas examinés par le ManageEngine Threat Analysis Lab (METAL), l’accès à distance passait par une connexion sortante distincte. C’est l’implant, autrement dit le logiciel malveillant placé sur la machine, qui établissait cette connexion. Le contact avec les attaquants partait donc du système infecté lui-même.

Des corrections sans vérification indépendante

Mandiant a averti AOMEI le 17 juillet 2026. Le 29 juillet 2026, l’éditeur a signalé à Mandiant que des mesures de correction avaient été effectuées. Lors de la publication de l’étude du METAL, il y a quelques jours, aucune vérification indépendante n’avait encore établi si ces mesures permettaient de contenir la compromission.

Pour les organisations équipées du logiciel AOMEI, une correction chez l’éditeur change de toute façon peu de chose à leur propre parc. Des corrections côté serveur n’éliminent pas un logiciel malveillant déjà installé sur des terminaux.

Une recherche rétroactive jusqu’en avril

Les organisations utilisant le logiciel AOMEI doivent analyser rétroactivement leurs terminaux et leurs données réseau pour la période d’avril à juillet 2026. Ces analyses doivent s’appuyer sur les indicateurs et les règles YARA publiés par Mandiant. Les indicateurs sont des traces techniques d’une attaque, comme des caractéristiques de fichiers ou des adresses réseau. Les règles YARA décrivent des motifs qui permettent de reconnaître des fichiers malveillants.

Les chercheurs du METAL recommandent en outre de sauvegarder les fichiers mis en cache par l’application. Les responsables doivent recouper les horodatages des alertes de leurs systèmes de sécurité avec les journaux réseau. La sélection des victimes de la campagne était opportuniste. La campagne a probablement touché d’autres organisations que celles identifiées jusqu’ici.

Questions fréquentes

Touchez une question pour afficher la réponse.

Des organisations de la sphère germanophone sont-elles touchées ?

Parmi les onze pays où des organisations touchées ont été identifiées figure la Suisse. La liste repose sur les données de télémétrie disponibles pour la période d’avril à juillet 2026.

AOMEI Backupper 8.5.0 comble-t-il la faille du canal de mise à jour ?

Avec la version 8.5.0, AOMEI Backupper a reçu le 9 octobre 2026 des correctifs pour la sauvegarde, le clonage et la restauration. Une correction de l’authentification des mises à jour ne figure pas dans le journal des modifications associé.

Quel rôle joue le Radmin Server installé ?

Sur les systèmes examinés, un Radmin Server était installé, un outil d’accès à distance. Dans l’étude du METAL, rien ne prouvait qu’il ait été actif. L’accès à distance y passait par la connexion de l’implant.

Source de l’image : généré par IA (octobre 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.