Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Hackers hijack AOMEI update servers to secretly spread malware

1 minute de lecture

Mis à jour :

Attaque par chaîne d’approvisionnement sur les serveurs AOMEI

Entre avril et juillet 2026, le groupe de menace UNC7017 a compromis les serveurs de mise à jour et de notification du logiciel AOMEI Backupper. L’attaque, furtive et intermittente, a permis de diffuser des logiciels malveillants à une échelle internationale (États-Unis, Australie, Europe, etc.).

Points clés :

  • Mode opératoire : Les attaquants modifiaient brièvement des fichiers de configuration sur les serveurs AOMEI pour rediriger le logiciel vers des archives malveillantes, puis restauraient les fichiers originaux quelques minutes plus tard afin d’effacer leurs traces.
  • Logiciels malveillants déployés :
    • CROSSROAD : Un téléchargeur assurant la persistance via des tâches planifiées.
    • SHINYROAD : Une porte dérobée exploitant le logiciel de contrôle à distance légitime Radmin.
  • Vecteur secondaire : Une technique visant à dérober des hashs d’authentification NTLM via l’accès forcé à une ressource WebDAV externe.
  • Nature de l’attaque : Opportuniste, visant des entreprises de secteurs variés (IT, télécoms, éducation).

Vulnérabilités :

  • Aucune CVE spécifique n’est associée, l’attaque reposant sur l’accès direct aux serveurs d’infrastructure de l’éditeur et la manipulation des fichiers de configuration (down_html.ini et Notifycfg.ini) et des sommes de contrôle de validation.

Recommandations :

  • Audit des machines : Les utilisateurs d’AOMEI Backupper doivent rechercher des traces d’infection (tâches planifiées suspectes, exécutables inhabituels dans le répertoire d’installation).
  • Analyse réseau : Vérifier les connexions sortantes vers des infrastructures suspectes (notamment les IPs et domaines listés par Google et ManageEngine).
  • Nettoyage : La sécurisation des serveurs par AOMEI ne supprime pas les malwares déjà installés ; une intervention manuelle sur les terminaux compromis est impérative.
  • Veille : Consulter les rapports complets de Google et ManageEngine pour obtenir les indicateurs de compromission (IOC) détaillés.

Source

Vous pourriez aimer