AOMEI Backupper : les serveurs de mise à jour détournés pour diffuser un malware

Google Threat Intelligence Group (GTIG) et Mandiant ont révélé le 19 octobre 2026 que des attaquants ont compromis l'infrastructure de mise à jour et de notifications d'AOMEI Technology, éditeur du logiciel de sauvegarde AOMEI Backupper et de l'outil de bureau à distance AnyViewer, lors d'une campagne analysée entre avril et juillet 2026. Le groupe, suivi sous le nom UNC7017, a utilisé des fenêtres de seulement cinq à dix minutes.

Comment l'attaque AOMEI a-t-elle fonctionné ?

Les deux logiciels interrogent régulièrement les serveurs d'AOMEI pour chercher des mises à jour et des notifications. Les attaquants ont modifié deux fichiers de configuration : l'un pointait vers un paquet malveillant contenant CROSSROAD, un téléchargeur qui récupérait d'autres logiciels malveillants, l'autre commandait à la routine de notification d'exécuter ce qui avait été téléchargé. Ils ont aussi changé la version attendue et la somme de contrôle MD5, que le logiciel acceptait telle quelle.

Selon TechInformed, l'attaque n'a pas exploité de vulnérabilité de l'application : elle s'est servie de fonctions existantes, car les fichiers de configuration n'étaient pas authentifiés cryptographiquement. Le téléchargeur installait ensuite la porte dérobée SHINYROAD, qui permet d'exécuter des commandes et d'ajouter d'autres logiciels malveillants. Les chercheurs n'ont pas identifié la charge comme un rançongiciel ni comme un voleur de données.

Quelles dates et quelles victimes ?

Trois fenêtres sont confirmées : 10 minutes le 28 mai, 6 minutes le 16 juillet et 5 minutes le 20 juillet 2026. Les appareils qui ont vérifié les mises à jour pendant ces créneaux ont pu recevoir des instructions malveillantes ; avant et après, les fichiers étaient légitimes. Google précise que d'autres fenêtres peuvent être passées inaperçues. Le Threat Analysis Lab de ManageEngine avait détecté une activité suspecte autour d'AOMEI Backupper fin mai.

Le nombre de machines infectées n'est pas publié. AOMEI affirme que son logiciel est utilisé par plus de 100 millions de personnes, selon Malwarebytes, mais ce chiffre ne dit rien de la part exposée. Le rapport n'identifie pas non plus d'infection confirmée via AnyViewer.

Comment vérifier son PC ?

Malwarebytes recommande, si vous avez utilisé AOMEI Backupper pendant la période, de mettre à jour votre solution de sécurité et de lancer une analyse. Parmi les indices à rechercher :

• une tâche planifiée nommée RadminComponentRuntime dans le Planificateur de tâches ;

• un fichier upgrade-now.exe non signé ou un upgrade-now.zip inattendu dans les dossiers html et Tmphtml de l'installation (le téléchargeur s'efface après avoir préparé la suite, son absence ne prouve donc rien) ;

• du trafic sortant vers storage-data.com et ses sous-domaines, ou vers les adresses 8.210.84.56, 47.239.60.117 et 8.218.65.184.

En cas de doute, déconnectez la machine d'Internet et faites-vous aider plutôt que de nettoyer à la main. Ce type d'attaque rappelle l'incident touchant ConnectWise Cloud Backup : un outil de sauvegarde, de confiance par nature, devient un vecteur.

Source

• Malwarebytes — AOMEI Backupper update servers hijacked to push malware: Check your PC

• TechInformed — Hackers alter AOMEI update files to deliver malware