Des attaquants piègent les mises à jour d'AOMEI Backupper via une compromission furtive de la chaîne d'approvisionnement

Le 16 octobre 2026, des chercheurs de Google Threat Intelligence Group (GTIG), de Mandiant et du Threat Analysis Lab de ManageEngine ont révélé que des attaquants avaient discrètement détourné le mécanisme de mise à jour d'AOMEI Backupper, un outil de sauvegarde et de clonage de disque pour Windows très répandu, édité par AOMEI Technology, société enregistrée à Hong Kong. Plutôt que d'exploiter une vulnérabilité, les intrus ont altéré deux fichiers de configuration non signés sur les serveurs d'AOMEI — l'un nommant le paquet de mise à jour et sa somme de contrôle, l'autre pilotant un service de pop-up — de sorte que toute installation vérifiant la présence de mises à jour durant d'étroites fenêtres téléchargeait et exécutait un paquet malveillant avec les privilèges du processus AOMEI.

GTIG a confirmé trois brèves fenêtres d'altération entre mai et juillet 2026, chacune ne durant que cinq à dix minutes : les 28 mai, 16 juillet et 20 juillet. Les copies vérifiant les mises à jour en dehors de ces fenêtres recevaient des fichiers authentiques, ce qui a aidé l'opération à passer inaperçue ; GTIG a précisé que d'autres fenêtres, non observées, s'étaient probablement produites. Le groupe est suivi sous le nom d'UNC7017, et les chercheurs n'ont attribué l'attaque à aucun pays ni acteur connu, qualifiant le ciblage d'opportuniste.

La chaîne logicielle malveillante

Le paquet malveillant s'appuyait sur un téléchargeur baptisé CROSSROAD, qui décompressait un ensemble contenant une copie légitimement signée de Radmin, créait une tâche planifiée s'exécutant toutes les trois heures, puis s'effaçait. La tâche chargeait par chargement latéral une DLL fournie par l'attaquant, déployant un implant nommé SHINYROAD qui communiquait avec une unique adresse codée en dur ; sur certaines machines, GTIG a aussi trouvé le cadriciel de commande et contrôle open source Adaptix, déguisé en logiciel Nitro PDF. CROSSROAD était conçu pour s'arrêter sur les hôtes situés en Chine ou exécutant certains agents de sécurité. Une variante observée le 20 juillet ouvrait plutôt un pop-up caché pointant vers un serveur WebDAV de l'attaquant, capable de dérober le jeton d'authentification NetNTLMv2 d'une victime sans qu'aucun programme ne soit exécuté.

Portée et réponse

GTIG a identifié des victimes dans les services informatiques, les télécommunications et l'enseignement supérieur à travers 11 pays — Australie, Brésil, Inde, Pakistan, Portugal, Singapour, Afrique du Sud, Espagne, Suisse, Türkiye et États-Unis — en précisant que le chiffre réel est probablement plus élevé. AOMEI a indiqué à Mandiant, le 29 juillet, avoir sécurisé ses serveurs, mais les chercheurs ont averti qu'un correctif côté serveur ne supprime pas la porte dérobée des machines déjà infectées, et ont relevé que le journal des modifications d'AOMEI ne montrait aucun changement de son processus de vérification des mises à jour jusqu'à la version actuelle 8.5.0. Aucun des deux rapports n'explique comment les attaquants ont obtenu un accès en écriture aux serveurs de mise à jour.