{"id":26666,"date":"2026-10-22T09:47:52","date_gmt":"2026-10-22T09:47:52","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=26666"},"modified":"2026-11-13T09:06:17","modified_gmt":"2026-11-13T09:06:17","slug":"aomei-quelques-minutes-suffisent-porte-derobee","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2026\/10\/22\/aomei-quelques-minutes-suffisent-porte-derobee\/","title":{"rendered":"Mises \u00e0 jour AOMEI : une porte d\u00e9rob\u00e9e en quelques minutes"},"content":{"rendered":"<p><strong>D&rsquo;avril \u00e0 juillet 2026, le groupe UNC7017 a manipul\u00e9 les configurations de mise \u00e0 jour du logiciel AOMEI, cinq \u00e0 dix minutes \u00e0 chaque fois. C&rsquo;est ainsi que le downloader CROSSROAD et la porte d\u00e9rob\u00e9e SHINYROAD ont atteint des organisations dans onze pays. Une correction c\u00f4t\u00e9 serveur ne supprime pas le logiciel malveillant des terminaux.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">L&rsquo;essentiel en bref<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Chaque manipulation est rest\u00e9e active quelques minutes \u00e0 peine.<\/strong> Entre avril et juillet 2026, UNC7017 a ainsi diffus\u00e9 le downloader CROSSROAD et la porte d\u00e9rob\u00e9e modulaire SHINYROAD.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">L&rsquo;attaque n&rsquo;a requis aucune faille logicielle.<\/strong> Le client ne v\u00e9rifiait pas ses fichiers de configuration par des moyens cryptographiques : la somme de contr\u00f4le figurait dans le m\u00eame fichier non prot\u00e9g\u00e9 que l&rsquo;adresse de t\u00e9l\u00e9chargement.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">Un serveur corrig\u00e9 ne nettoie pas les terminaux.<\/strong> Les organisations utilisant le logiciel AOMEI doivent analyser r\u00e9troactivement leurs terminaux et leurs donn\u00e9es r\u00e9seau pour la p\u00e9riode d&rsquo;avril \u00e0 juillet 2026.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">\u00c0 lire aussi :<\/strong> KnowBe4 : un lien d\u00e9clenche trois sc\u00e9narios de phishing &nbsp;\u00b7&nbsp; Quand l&rsquo;agent de pentest change de camp<\/p>\n<h2>Une fen\u00eatre de quelques minutes<\/h2>\n<p>La configuration de mise \u00e0 jour d&rsquo;un logiciel est un fichier discret. Elle indique au programme install\u00e9 quoi r\u00e9cup\u00e9rer, et o\u00f9. Chez AOMEI, l&rsquo;\u00e9diteur du logiciel de sauvegarde AOMEI Backupper, c&rsquo;est pr\u00e9cis\u00e9ment ce fichier qui est devenu une porte d&rsquo;entr\u00e9e entre avril et juillet 2026.<\/p>\n<p>Le groupe d\u00e9sign\u00e9 sous le nom UNC7017 a modifi\u00e9 la configuration \u00e0 plusieurs reprises pour de courtes dur\u00e9es, comme le documentent <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/investigating-ephemeral-supply-chain-tampering\/\">Mandiant et le Google Threat Intelligence Group<\/a>. Ensuite, la version d&rsquo;origine \u00e9tait de nouveau en place. Les machines qui consultaient la configuration dans ces fen\u00eatres temporelles recevaient la version pi\u00e9g\u00e9e. Sur la base de la t\u00e9l\u00e9m\u00e9trie disponible, c&rsquo;est-\u00e0-dire des donn\u00e9es d&rsquo;exploitation collect\u00e9es par les produits de s\u00e9curit\u00e9, des organisations touch\u00e9es ont \u00e9t\u00e9 identifi\u00e9es dans onze pays.<\/p>\n<p><strong>Qu&rsquo;est-ce qu&rsquo;une attaque de la cha\u00eene d&rsquo;approvisionnement ?<\/strong> Lors d&rsquo;une telle attaque, les attaquants compromettent un \u00e9diteur, un prestataire ou leurs canaux de distribution. Le logiciel malveillant atteint ensuite les v\u00e9ritables cibles par un canal auquel elles font confiance. Dans le cas d&rsquo;AOMEI, ce canal \u00e9tait la configuration de mise \u00e0 jour du logiciel.<\/p>\n<h2>Un canal promotionnel sans contr\u00f4le d&rsquo;authenticit\u00e9<\/h2>\n<p>Pour cette attaque, <a href=\"https:\/\/www.manageengine.com\/threat-analysis-lab\/aomei-backupper-supply-chain-compromise.html\">aucune vuln\u00e9rabilit\u00e9 n&rsquo;\u00e9tait n\u00e9cessaire<\/a>. UNC7017 a d\u00e9tourn\u00e9 le canal promotionnel pr\u00e9vu par AOMEI dans son logiciel. Les utilisateurs n&rsquo;avaient aucun clic suppl\u00e9mentaire \u00e0 effectuer ni aucune confirmation \u00e0 donner.<\/p>\n<p>Le client n&rsquo;authentifiait pas les fichiers de configuration par des moyens cryptographiques. Il ne pouvait donc pas v\u00e9rifier si un fichier provenait r\u00e9ellement de l&rsquo;\u00e9diteur. Certes, la configuration contenait une somme de contr\u00f4le pour l&rsquo;archive \u00e0 t\u00e9l\u00e9charger. Mais cette somme de contr\u00f4le figurait dans le m\u00eame fichier non prot\u00e9g\u00e9 que l&rsquo;adresse de t\u00e9l\u00e9chargement. Celui qui pouvait remplacer l&rsquo;adresse pouvait aussi y inscrire la somme de contr\u00f4le correspondante.<\/p>\n<p>Le dropper, un programme qui d\u00e9pose d&rsquo;autres logiciels malveillants sur le syst\u00e8me, n&#8217;embarquait aucun m\u00e9canisme propre d&rsquo;\u00e9l\u00e9vation de privil\u00e8ges. Il h\u00e9ritait des droits du processus AOMEI qui le lan\u00e7ait.<\/p>\n<h2>Une porte d\u00e9rob\u00e9e avec connexion sortante<\/h2>\n<p>La cha\u00eene d&rsquo;attaque a fait parvenir deux outils sur les machines. CROSSROAD est un downloader : il r\u00e9cup\u00e8re des composants suppl\u00e9mentaires. SHINYROAD est un framework de porte d\u00e9rob\u00e9e modulaire dont les fonctions se composent de briques individuelles.<\/p>\n<p>Dans les cas examin\u00e9s par le ManageEngine Threat Analysis Lab (METAL), l&rsquo;acc\u00e8s \u00e0 distance passait par une connexion sortante distincte. C&rsquo;est l&rsquo;implant, autrement dit le logiciel malveillant plac\u00e9 sur la machine, qui \u00e9tablissait cette connexion. Le contact avec les attaquants partait donc du syst\u00e8me infect\u00e9 lui-m\u00eame.<\/p>\n<h2>Des corrections sans v\u00e9rification ind\u00e9pendante<\/h2>\n<p>Mandiant a averti AOMEI le 17 juillet 2026. Le 29 juillet 2026, l&rsquo;\u00e9diteur a signal\u00e9 \u00e0 Mandiant que des mesures de correction avaient \u00e9t\u00e9 effectu\u00e9es. Lors de la publication de l&rsquo;\u00e9tude du METAL, il y a quelques jours, aucune v\u00e9rification ind\u00e9pendante n&rsquo;avait encore \u00e9tabli si ces mesures permettaient de contenir la compromission.<\/p>\n<p>Pour les organisations \u00e9quip\u00e9es du logiciel AOMEI, une correction chez l&rsquo;\u00e9diteur change de toute fa\u00e7on peu de chose \u00e0 leur propre parc. Des corrections c\u00f4t\u00e9 serveur n&rsquo;\u00e9liminent pas un logiciel malveillant d\u00e9j\u00e0 install\u00e9 sur des terminaux.<\/p>\n<h2>Une recherche r\u00e9troactive jusqu&rsquo;en avril<\/h2>\n<p>Les organisations utilisant le logiciel AOMEI doivent analyser r\u00e9troactivement leurs terminaux et leurs donn\u00e9es r\u00e9seau pour la p\u00e9riode d&rsquo;avril \u00e0 juillet 2026. Ces analyses doivent s&rsquo;appuyer sur les <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/investigating-ephemeral-supply-chain-tampering\/\">indicateurs et les r\u00e8gles YARA publi\u00e9s par Mandiant<\/a>. Les indicateurs sont des traces techniques d&rsquo;une attaque, comme des caract\u00e9ristiques de fichiers ou des adresses r\u00e9seau. Les r\u00e8gles YARA d\u00e9crivent des motifs qui permettent de reconna\u00eetre des fichiers malveillants.<\/p>\n<p>Les <a href=\"https:\/\/www.manageengine.com\/threat-analysis-lab\/aomei-backupper-supply-chain-compromise.html\">chercheurs du METAL<\/a> recommandent en outre de sauvegarder les fichiers mis en cache par l&rsquo;application. Les responsables doivent recouper les horodatages des alertes de leurs syst\u00e8mes de s\u00e9curit\u00e9 avec les journaux r\u00e9seau. La s\u00e9lection des victimes de la campagne \u00e9tait opportuniste. La campagne a probablement touch\u00e9 d&rsquo;autres organisations que celles identifi\u00e9es jusqu&rsquo;ici.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Touchez une question pour afficher la r\u00e9ponse.<\/p>\n<details>\n<summary><strong>Des organisations de la sph\u00e8re germanophone sont-elles touch\u00e9es ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Parmi les onze pays o\u00f9 des organisations touch\u00e9es ont \u00e9t\u00e9 identifi\u00e9es figure la Suisse. La liste repose sur les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie disponibles pour la p\u00e9riode d&rsquo;avril \u00e0 juillet 2026.<\/p>\n<\/details>\n<details>\n<summary><strong>AOMEI Backupper 8.5.0 comble-t-il la faille du canal de mise \u00e0 jour ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Avec la version 8.5.0, AOMEI Backupper a re\u00e7u le 9 octobre 2026 des correctifs pour la sauvegarde, le clonage et la restauration. Une correction de l&rsquo;authentification des mises \u00e0 jour ne figure pas dans le <a href=\"https:\/\/www.ubackup.com\/changelog.html\">journal des modifications<\/a> associ\u00e9.<\/p>\n<\/details>\n<details>\n<summary><strong>Quel r\u00f4le joue le Radmin Server install\u00e9 ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Sur les syst\u00e8mes examin\u00e9s, un Radmin Server \u00e9tait install\u00e9, un outil d&rsquo;acc\u00e8s \u00e0 distance. Dans l&rsquo;\u00e9tude du METAL, rien ne prouvait qu&rsquo;il ait \u00e9t\u00e9 actif. L&rsquo;acc\u00e8s \u00e0 distance y passait par la connexion de l&rsquo;implant.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=fr--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Source de l&rsquo;image : g\u00e9n\u00e9r\u00e9 par IA (octobre 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Le groupe UNC7017 a manipul\u00e9 les configurations de mise \u00e0 jour d&rsquo;AOMEI quelques minutes \u00e0 la fois. Des organisations ont \u00e9t\u00e9 touch\u00e9es dans onze pays.","protected":false},"author":10,"featured_media":25004,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"logiciel AOMEI","_yoast_wpseo_title":"Mises \u00e0 jour AOMEI : une porte d\u00e9rob\u00e9e en quelques minutes","_yoast_wpseo_metadesc":"Le groupe UNC7017 a manipul\u00e9 les configurations de mise \u00e0 jour d'AOMEI quelques minutes \u00e0 la fois. Des organisations touch\u00e9es dans onze pays.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[252],"tags":[],"class_list":["post-26666","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualites"],"evm_reading_time_minutes":6,"wpml_language":"fr","wpml_translation_of":24995,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=26666"}],"version-history":[{"count":10,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26666\/revisions"}],"predecessor-version":[{"id":27016,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26666\/revisions\/27016"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/25004"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=26666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=26666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=26666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}