Google detecta una oleada de puertas traseras en los servidores de AOMEI; los escáneres no las ven y los registros aparecen limpios
Sin mostrar ni un solo error en pantalla, las computadoras podían quedar bajo control ajeno.
Los programas de copia de seguridad y acceso remoto pueden convertirse en un vector de infección, incluso si las propias aplicaciones no contienen vulnerabilidades. Entre abril y julio de 2026, actores maliciosos atacaron la infraestructura de actualizaciones de AOMEI Technology, sustituyendo las configuraciones de descarga del software malicioso durante solo cinco a diez minutos y luego volviendo a colocar los archivos originales. Sobre esto informaron Google Threat Intelligence Group y Mandiant.
El ataque afectó al mecanismo de actualización de AOMEI Backupper y al servicio de notificaciones, que periódicamente descargan configuraciones desde los servidores de la empresa. Los atacantes cambiaron la dirección de descarga del archivo y los parámetros de verificación de versión, redirigiendo a parte de los usuarios a recursos bajo su control. Además, modificaron la configuración de las notificaciones para que el programa ejecutara automáticamente el archivo malicioso descargado sin acciones por parte del usuario.
El primer paso de la infección era el cargador CROSSROAD. Este comprobaba los parámetros del sistema, descargaba componentes adicionales y creaba una tarea de Windows que aseguraba la reejecución del software malicioso. A continuación se instalaba SHINYROAD: una herramienta oculta de control remoto que permitía ejecutar comandos en el equipo infectado. Más tarde, los atacantes también utilizaron componentes de Adaptix, disfrazándolos como utilidades Nitro PDF.
En una de las oleadas del ataque, el 20 de julio, los atacantes emplearon otro mecanismo: una ventana invisible de un píxel obligaba al equipo a conectarse a un recurso WebDAV externo. Esto pudo provocar la transmisión de credenciales de red en forma de hashes NTLMv2. Al mismo tiempo, la descarga inicial del archivo malicioso se realizó a través de Google Cloud Storage, lo que dificultaba el bloqueo basándose en dominios recién registrados.
La actividad se detectó gracias a la telemetría de ManageEngine Threat Analysis Lab en varios entornos de clientes. Según Google y Mandiant, las organizaciones potencialmente afectadas estaban en diferentes países y pertenecían a los sectores de servicios de TI, telecomunicaciones y educación superior. AOMEI informó que solucionó los problemas en los servidores de distribución de actualizaciones; sin embargo, eso no limpia los equipos infectados anteriormente.
A las organizaciones que usan productos de AOMEI se les recomienda revisar los sistemas durante el periodo de abril a julio de 2026, examinar los registros de conexiones de red y buscar archivos y tareas sospechosas relacionadas con Radmin y Nitro PDF. Comprobar solo la configuración actual del servidor no es suficiente: los atacantes devolvían rápidamente las configuraciones originales. Para reducir el riesgo también conviene controlar los procesos iniciados por los programas de actualización y bloquear las conexiones de red sospechosas.