AOMEI Backupper backdoor tramite aggiornamento: cosa fare

Tra maggio e luglio 2026, i server di aggiornamento del software AOMEI Backupper sono stati manomessi per distribuire una backdoor sui computer aziendali. Il problema riguarda le versioni 8.3.0 e 8.5.0, colpite dal gruppo di minaccia identificato come UNC7017 tramite i malware CROSSROAD e SHINYROAD. Per escludere intrusioni, i responsabili IT devono bloccare specifici indirizzi IP e verificare le attività pianificate di Windows.

Come è avvenuta l'intrusione (UNC7017, CROSSROAD e SHINYROAD)

Secondo i ricercatori di sicurezza, la manomissione è avvenuta in finestre temporali estremamente ridotte, della durata di soli 5 o 10 minuti. Nei giorni 28 maggio (05:40 - 05:50 UTC), 16 luglio (08:33 - 08:39 UTC) e 20 luglio 2026 (10:35 - 10:40 UTC), gli aggressori hanno sostituito due file di configurazione non firmati sui server ufficiali dell'azienda di Hong Kong AOMEI Technology. I file alterati sono down_html.ini, che definisce l'archivio da scaricare e la somma di controllo, e Notifycfg.ini, che gestisce le notifiche a comparsa e i comandi da eseguire.

I computer che hanno interrogato i server per cercare aggiornamenti in quei precisi minuti hanno scaricato ed eseguito codice malevolo anziché i file legittimi. L'attacco non sfrutta una vulnerabilità del codice software, per cui non esiste un codice CVE associato. Il problema risiede nella mancanza di una convalida crittografica indipendente: il programma accetta la somma di controllo inclusa nello stesso file non firmato.

I componenti malevoli installati includono il programma di scaricamento iniziale denominato "CROSSROAD" e un impianto backdoor modulare chiamato "SHINYROAD". Quest'ultimo viene avviato tramite il caricamento laterale di DLL, sfruttando una copia lecita del programma di amministrazione remota Radmin. L'infrastruttura di comando e controllo, distribuita in fasi successive, è tracciata come "Adaptix C2" ed è stata mascherata da software "Nitro PDF". Il 20 luglio 2026 è stato registrato anche il furto di credenziali di autenticazione "NetNTLMv2", ottenuto tramite un elemento invisibile da 1 pixel caricato via WebDAV, senza richiedere l'esecuzione di file da parte dell'utente.

Chi è coinvolto: prodotti e versioni

L'attività ha colpito organizzazioni in almeno 11 Paesi, inclusi Stati Uniti, Svizzera, Spagna e Portogallo, operanti nei settori delle telecomunicazioni, dei servizi informatici e dell'istruzione superiore.

Il software compromesso è AOMEI Backupper, ampiamente utilizzato da studi professionali e piccole-medie imprese per le copie di sicurezza e la clonazione dei dischi. Le analisi confermano il coinvolgimento della versione "8.3.0". Anche la versione "8.5.0", rilasciata il 9 ottobre 2026, mantiene inalterato il meccanismo di verifica vulnerabile. Anche il programma di controllo remoto AnyViewer condivide la stessa infrastruttura di aggiornamento, sebbene i casi documentati riguardino specificamente Backupper.

Poiché i servizi di backup operano con privilegi amministrativi elevati sul sistema operativo, l'installazione della backdoor garantisce all'intruso il controllo completo dell'endpoint. La natura intermittente dell'intrusione, definita come manomissione effimera della catena di fornitura, rende inefficaci i controlli retroattivi: verificare oggi l'integrità del programma sul sito del produttore restituisce file legittimi. Questo porta spesso gli amministratori IT a scambiare i reali allarmi di sicurezza per falsi positivi. AOMEI ha comunicato di aver ripristinato la sicurezza dei server il 29 luglio 2026, ma l'intervento sull'infrastruttura centrale non elimina il malware dai dispositivi già compromessi.

AOMEI Backupper backdoor aggiornamento: cosa fare

Al momento non esiste una patch lato client che introduca la verifica crittografica delle firme sui file di configurazione, e il produttore non ha comunicato una data per questa modifica strutturale. I responsabili IT devono applicare subito queste mitigazioni e verifiche di bonifica:

1. Bloccare i domini malevoli: Impostare il firewall o i filtri DNS per bloccare i domini storage-data[.]com, promotion.storage-data[.]com e aomei.storage-data[.]com.
2. Bloccare gli IP sospetti: Impedire il traffico verso gli indirizzi IP 8.210.84[.]56, 8.218.65[.]184 e 47.239.60[.]117.
3. Impedire l'esfiltrazione di credenziali: Bloccare il traffico in uscita per il protocollo SMB (porta TCP 445) e WebDAV verso indirizzi esterni non aziendali, per fermare il furto delle credenziali NetNTLMv2.
4. Verificare le attività pianificate: Esaminare le attività pianificate di Windows sui computer aziendali alla ricerca delle voci esatte "RadminComponentRuntime" o "NitroRuntime".
5. Cercare file anomali: Verificare la presenza del file eseguibile non firmato "upgrade-now.exe", che simula i metadati del produttore AOMEI. Controllare anche l'eventuale presenza di file anomali nella cartella dati applicativi locale associata a Radmin o nella sottocartella html di AOMEI Backupper.
6. Analizzare i registri di rete: Ispezionare i log di rete relativi al periodo tra maggio e luglio 2026 per rilevare eventuali comunicazioni passate verso l'infrastruttura dell'aggressore.

Verificare immediatamente la presenza di queste attività pianificate o connessioni sulle postazioni aziendali per escludere intrusioni.

Fonti

• Attackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor