RespuestasPublicado21 fuentes
AOMEI Backupper: cómo una brecha de minutos pudo dejar puertas traseras instaladas
Entre abril y julio de 2026, atacantes manipularon durante breves periodos los servidores de actualización de AOMEI Backupper para distribuir CROSSROAD y la puerta trasera SHINYROAD. ManageEngine detectó actividad sospechosa el 28 de mayo y avisó a AOMEI en junio; Google Threat Intelligence Group y Mandiant investig...
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- Entre abril y julio de 2026, atacantes manipularon durante breves periodos los servidores de actualización de AOMEI Backupper para distribuir CROSSROAD y la puerta trasera SHINYROAD.
- ManageEngine detectó actividad sospechosa el 28 de mayo y avisó a AOMEI en junio; Google Threat Intelligence Group y Mandiant investigaron la campaña y la siguen como UNC7017.[16][17]
- Que los archivos del servidor hayan vuelto a la normalidad no significa que los equipos estén limpios.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Los atacantes manipularon la infraestructura de actualización de AOMEI Backupper durante una campaña que se extendió de abril a julio de 2026. Aprovecharon ventanas breves para distribuir malware, incluida la puerta trasera SHINYROAD. Los investigadores confirmaron tres episodios: uno de diez minutos, otro de seis y otro de cinco. También advirtieron que pudo haber más ventanas que no llegaron a detectar.17
35
11
Que los servidores vuelvan a mostrar archivos legítimos no descarta que haya malware instalado en los equipos de los usuarios.5
9
Cómo se descubrió la campaña
El software de seguridad para endpoints de ManageEngine detectó actividad sospechosa el 28 de mayo: Backupper instaló la herramienta legítima de administración remota Radmin en los equipos de dos clientes no relacionados, ubicados en distintos países. ManageEngine dijo que avisó a AOMEI en junio. Más tarde, Google Threat Intelligence Group y Mandiant investigaron la actividad junto con ManageEngine y siguieron a los atacantes bajo el nombre UNC7017. La información publicada no atribuye el grupo a ningún país.16
17
40
El 20 de octubre, The Record informó que AOMEI había dicho que todavía no había identificado ni notificado a los clientes infectados en el ataque.16
Cómo aprovecharon el sistema de actualizaciones y notificaciones
Según los investigadores, los atacantes modificaron en los servidores dos archivos de configuración: down_html.ini y Notifycfg.ini, relacionados con los procesos de actualización y notificación de Backupper. Si el programa se conectaba durante uno de los periodos de manipulación, esos archivos podían dirigirlo a contenido malicioso.17
7
Las tres ventanas confirmadas ocurrieron el 28 de mayo, el 16 de julio y el 20 de julio; duraron diez, seis y cinco minutos, respectivamente. Después, los atacantes restauraron los archivos legítimos. Los investigadores creen que pudo haber más episodios de los que observaron directamente: esas tres fechas, por tanto, no son necesariamente una lista completa de los posibles periodos de exposición.35
11
La cadena de malware incluía CROSSROAD, un descargador que descomprimía un paquete y creaba una tarea programada para ejecutarse cada tres horas. Luego, un ejecutable legítimo y firmado de Radmin cargaba mediante DLL side-loading una biblioteca maliciosa, que a su vez iniciaba SHINYROAD, una puerta trasera capaz de permitir el acceso remoto a una consola y la ejecución de comandos.35
33
Qué se sabe del impacto y qué sigue sin estar claro
Los reportes identificaron organizaciones afectadas en sectores como los servicios de TI, las telecomunicaciones y la educación superior, en más de diez países.40 La información disponible no establece el número total de equipos u organizaciones infectados. Además, las ventanas breves y la posibilidad de que hubiera otros episodios sin detectar impiden usar las fechas confirmadas como una medida completa de la exposición.
11
16
CROSSROAD también comprobaba aspectos del entorno y la ubicación del equipo; según los reportes, evitaba seguir su ruta principal de instalación en sistemas cuya geolocalización indicaba China.1
9 La información disponible no ofrece detalles fiables suficientes para confirmar todas las exclusiones ni para dar por probados otros comportamientos que se le han atribuido.
Qué deberían hacer los usuarios de Backupper
Las organizaciones que usaron Backupper entre abril y julio de 2026 deberían investigar los equipos pertinentes durante todo ese periodo, no limitarse a las tres ventanas confirmadas. La campaña abarcó esos meses y pudieron producirse episodios de manipulación que no se observaron.2
11
La revisión debe buscar malware ya instalado y mecanismos de persistencia en los dispositivos. Que AOMEI haya restaurado los archivos legítimos en sus servidores no elimina una puerta trasera que ya haya llegado a un equipo.5
9 Esto cobra especial importancia porque, según el reporte del 20 de octubre, AOMEI todavía no había identificado ni notificado a los clientes infectados.
16
El caso muestra por qué comprometer un canal de actualización puede ser tan eficaz: la actividad maliciosa puede llegar a través de un programa que los clientes ya utilizan y consideran confiable. En esta campaña, los investigadores también informaron que la cadena de malware empleó un ejecutable de Radmin firmado para cargar una biblioteca DLL maliciosa.17
33
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "AOMEI Backupper: cómo una brecha de minutos pudo dejar puertas traseras instaladas"?
Entre abril y julio de 2026, atacantes manipularon durante breves periodos los servidores de actualización de AOMEI Backupper para distribuir CROSSROAD y la puerta trasera SHINYROAD.
¿Cuáles son los puntos clave a validar primero?
Entre abril y julio de 2026, atacantes manipularon durante breves periodos los servidores de actualización de AOMEI Backupper para distribuir CROSSROAD y la puerta trasera SHINYROAD. ManageEngine detectó actividad sospechosa el 28 de mayo y avisó a AOMEI en junio; Google Threat Intelligence Group y Mandiant investigaron la campaña y la siguen como UNC7017.[16][17]
¿Qué debo hacer a continuación en la práctica?
Que los archivos del servidor hayan vuelto a la normalidad no significa que los equipos estén limpios.