RéponsesPublié21 sources
AOMEI Backupper : ce que l’on sait de l’attaque et les vérifications à effectuer
Entre avril et juillet 2026, des modifications temporaires des serveurs de mise à jour ont permis de diffuser CROSSROAD et la porte dérobée SHINYROAD via AOMEI Backupper. ManageEngine a repéré une activité suspecte le 28 mai et a averti AOMEI en juin.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Entre avril et juillet 2026, des modifications temporaires des serveurs de mise à jour ont permis de diffuser CROSSROAD et la porte dérobée SHINYROAD via AOMEI Backupper.
- ManageEngine a repéré une activité suspecte le 28 mai et a averti AOMEI en juin.
- Le retour des fichiers du fournisseur à la normale ne suffit pas à garantir qu’un ordinateur est propre.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Des pirates ont brièvement modifié l’infrastructure de mise à jour d’AOMEI Backupper au cours d’une campagne menée entre avril et juillet 2026. Ces changements ont permis de diffuser des logiciels malveillants, dont la porte dérobée SHINYROAD. Les chercheurs ont confirmé trois épisodes de manipulation, de dix, six et cinq minutes. Ils préviennent toutefois que d’autres épisodes ont pu passer inaperçus.17
35
11 Le fait que les serveurs affichent de nouveau des fichiers légitimes ne signifie pas qu’un logiciel malveillant a disparu des ordinateurs qui l’ont déjà téléchargé.
5
9
Comment l’attaque a été découverte
Le logiciel de sécurité pour terminaux de ManageEngine a repéré une activité suspecte le 28 mai : Backupper avait installé l’outil légitime d’administration à distance Radmin sur les ordinateurs de deux clients sans lien entre eux, situés dans des pays différents. ManageEngine indique avoir averti AOMEI en juin. Google Threat Intelligence Group et Mandiant ont ensuite enquêté avec ManageEngine et suivi les attaquants sous le nom UNC7017. Les informations disponibles ne leur attribuent pas de pays.16
17
40
Le 20 octobre, The Record a rapporté qu’AOMEI disait ne pas encore avoir identifié ni averti les clients infectés par l’attaque.16
Le fonctionnement du détournement
Selon les chercheurs, les attaquants ont modifié deux fichiers de configuration sur les serveurs d’AOMEI : down_html.ini et Notifycfg.ini. Ces fichiers participaient aux mécanismes de mise à jour et de notification de Backupper. Pendant une période de manipulation, un logiciel qui consultait les serveurs pouvait ainsi être dirigé vers du contenu malveillant.17
7
Les trois épisodes confirmés ont eu lieu les 28 mai, 16 juillet et 20 juillet, et ont duré respectivement dix, six et cinq minutes. Les pirates ont ensuite remis en place les fichiers légitimes. Les chercheurs estiment que d’autres manipulations ont pu avoir lieu sans être observées : ces trois dates ne constituent donc pas nécessairement la liste complète des périodes d’exposition.35
11
La chaîne malveillante comprenait CROSSROAD, un programme téléchargeur qui décompressait un ensemble de fichiers et créait une tâche planifiée pour s’exécuter toutes les trois heures. Un exécutable Radmin signé chargeait ensuite une DLL malveillante, laquelle lançait SHINYROAD, une porte dérobée permettant notamment l’accès à un shell distant et l’exécution de commandes.35
33
Ce que l’on sait de l’impact — et ce qui reste incertain
Des organisations des secteurs des services informatiques, des télécommunications et de l’enseignement supérieur ont été touchées dans plus de dix pays.40 Les éléments disponibles ne permettent pas d’établir le nombre total d’appareils ou d’organisations infectés. Les fenêtres de diffusion confirmées, très courtes, ne suffisent pas à mesurer l’exposition, d’autant que d’autres épisodes ont pu échapper aux chercheurs.
11
16
CROSSROAD effectuait également des vérifications liées à l’environnement d’exécution et à la localisation de l’ordinateur. Selon les informations rapportées, le programme évitait son principal chemin de déploiement sur les systèmes géolocalisés en Chine.1
9 Les sources disponibles ne permettent pas de confirmer avec suffisamment de fiabilité l’ensemble des exclusions éventuelles ni d’autres comportements allégués.
Que faire si votre organisation utilisait Backupper ?
Les organisations qui ont utilisé Backupper entre avril et juillet 2026 devraient examiner les ordinateurs concernés sur l’ensemble de cette période, plutôt que de limiter leurs vérifications aux trois épisodes confirmés. La campagne s’étend sur plusieurs mois et d’autres manipulations ont pu ne pas être détectées.2
11
Les investigations doivent porter sur la présence de logiciels malveillants et de mécanismes de persistance sur les postes. Le rétablissement des fichiers légitimes sur les serveurs du fournisseur ne supprime pas une porte dérobée déjà installée sur un ordinateur.5
9 C’est d’autant plus important qu’au 20 octobre, selon The Record, AOMEI n’avait pas encore identifié ni averti les clients infectés.
16
Cette affaire rappelle pourquoi une compromission de la chaîne de mise à jour peut être particulièrement efficace : le logiciel malveillant arrive par un programme que les utilisateurs connaissent et auquel ils font confiance. Dans cette campagne, les chercheurs indiquent aussi que la chaîne utilisait un exécutable Radmin signé pour charger une DLL malveillante.17
33
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « AOMEI Backupper : ce que l’on sait de l’attaque et les vérifications à effectuer » ?
Entre avril et juillet 2026, des modifications temporaires des serveurs de mise à jour ont permis de diffuser CROSSROAD et la porte dérobée SHINYROAD via AOMEI Backupper.
Quels sont les points clés à valider en premier ?
Entre avril et juillet 2026, des modifications temporaires des serveurs de mise à jour ont permis de diffuser CROSSROAD et la porte dérobée SHINYROAD via AOMEI Backupper. ManageEngine a repéré une activité suspecte le 28 mai et a averti AOMEI en juin.
Que dois-je faire ensuite en pratique ?
Le retour des fichiers du fournisseur à la normale ne suffit pas à garantir qu’un ordinateur est propre.