AOMEI Backupper: server di aggiornamento manomessi per pochi minuti per diffondere malware

Per mesi, chi aveva installato AOMEI Backupper su un computer Windows ha ricevuto aggiornamenti e notifiche dai server ufficiali del produttore, come sempre. Solo che, in alcuni momenti precisi, quegli stessi server hanno distribuito un malware. Lo hanno documentato a metà ottobre 2026 il Google Threat Intelligence Group (GTIG) insieme a Mandiant e il laboratorio di analisi delle minacce di ManageEngine (METAL). La notizia è stata ripresa da BleepingComputer e da The Hacker News, ma in Italia se n’è parlato pochissimo.

Il caso merita attenzione per due motivi. AOMEI Backupper è un programma di backup e clonazione dei dischi molto diffuso, proprio tra chi si occupa di assistenza e manutenzione dei PC. E la tecnica usata dagli attaccanti è nuova: secondo Google è la prima volta che osserva una compromissione della catena di fornitura del software basata su finestre di pochi minuti.

Che cosa è successo

Tra aprile e luglio 2026 un gruppo che Google identifica con la sigla UNC7017 ha modificato a più riprese due file di configurazione ospitati sui server di AOMEI. Ogni modifica restava attiva per un tempo compreso tra cinque e dieci minuti, poi i file tornavano alla versione originale. Le finestre confermate sono tre:

Data (2026)	Durata	Orario (ora italiana)
28 maggio	10 minuti	07:40 – 07:50
16 luglio	6 minuti	10:33 – 10:39
20 luglio	5 minuti	12:35 – 12:40

Google ritiene probabile che ce ne siano state altre, rimaste fuori dalla sua visibilità: i primi campioni del malware circolavano già da fine aprile. Le organizzazioni colpite individuate finora appartengono ai settori dei servizi IT, delle telecomunicazioni e dell’istruzione universitaria, in undici paesi tra cui Spagna, Portogallo, Svizzera e Stati Uniti. L’Italia non compare nell’elenco, ma i ricercatori sottolineano che le vittime erano casuali: chiunque avesse il programma acceso e controllasse gli aggiornamenti in quei minuti poteva ricevere il codice malevolo.

Come funzionava l’attacco

Il punto più interessante è che non è stata sfruttata nessuna vulnerabilità del programma. Come scrive ManageEngine, non c’era nessuna CVE, nessun componente non aggiornato: il software ha fatto esattamente quello per cui era stato progettato.

AOMEI Backupper, tramite i processi Backupper.exe e ABNotify.exe, interroga periodicamente via HTTPS due file remoti. Il primo, down_html.ini, indica la versione, l’indirizzo da cui scaricare un pacchetto chiamato upgrade-now.zip e l’hash MD5 atteso. Il secondo, Notifycfg.ini, dice al programma quali notifiche e finestre promozionali mostrare e quali contenuti aprire dalla cartella locale.

Durante le finestre di manomissione gli attaccanti cambiavano l’indirizzo del pacchetto, puntandolo verso server sotto il loro controllo, e aggiornavano anche l’hash MD5. Il programma scaricava l’archivio, verificava che l’hash coincidesse con quello dichiarato e lo estraeva. Il controllo veniva superato perché il valore da verificare stava nello stesso file manomesso. Poi il file delle notifiche faceva aprire una pagina HTML in una finestra di un pixel per un pixel, e quella pagina avviava l’eseguibile contenuto nel pacchetto. Nessun clic richiesto all’utente: bastava avere il programma in funzione.

Un checksum può stabilire che il file scaricato corrisponde al valore fornito al client. Non può stabilire che quel valore provenga davvero dal produttore.
ManageEngine Threat Analysis Lab (traduzione nostra)

I malware installati: CROSSROAD e SHINYROAD

Il primo stadio è un downloader che Google chiama CROSSROAD, distribuito come upgrade-now.exe. Il file non è firmato, si presenta con i dati di AOMEI e contiene un refuso rivelatore nel nome del prodotto: «AOMEI Update Compent». Prima di agire controlla la posizione geografica del computer e si ferma se l’indirizzo risulta in Cina; secondo ManageEngine si ferma anche quando trova determinati prodotti di sicurezza. Poi scarica il secondo stadio, crea un’attività pianificata chiamata RadminComponentRuntime che si avvia ogni tre ore e si cancella da solo.

Il secondo stadio è SHINYROAD, una backdoor modulare. Viene consegnata insieme a componenti autentici di Radmin, un noto software commerciale di amministrazione remota. Il file firmato FamItrfc.exe di Radmin carica una DLL costruita dagli attaccanti, BlkScrDl.dll, che si spaccia per un componente legittimo. Il codice vero e proprio è cifrato con ChaCha20 e viene eseguito in memoria tramite un piccolo interprete Python incorporato. L’indirizzo del server di comando non è nemmeno scritto nel file: compare solo dopo la decifratura. È uno dei motivi per cui, secondo ManageEngine, un campione era classificato come innocuo da tutti i motori di VirusTotal.

A luglio gli attaccanti hanno aggiunto altri strumenti, mascherati da programmi di Nitro PDF, basati sul framework di post-sfruttamento Adaptix C2. Il 20 luglio Google ha osservato anche una seconda tecnica: una finestra invisibile che apriva un percorso WebDAV verso un server esterno, inducendo Windows a inviare l’hash NetNTLMv2 dell’utente collegato. In questo caso non serviva eseguire alcun programma per sottrarre credenziali utilizzabili per attacchi successivi.

Perché questa tecnica è pericolosa

Le compromissioni della catena di fornitura più note, come quelle di SolarWinds e 3CX citate da Google, inserivano codice malevolo nel software rilasciato. Prima o poi qualcuno analizzava i file ufficiali e trovava la manomissione. Qui invece i file rilasciati restano puliti: cambia per pochi minuti solo la configurazione che dice al programma cosa scaricare.

Questo crea un problema anche a chi deve indagare. ManageEngine racconta che, dopo il primo allarme del 28 maggio, i suoi ricercatori hanno provato a riprodurre l’attacco e i server di AOMEI restituivano file perfettamente legittimi. Per dimostrare la manomissione hanno dovuto monitorare in continuo gli indirizzi di aggiornamento, finché il 16 luglio il cambiamento è stato catturato mentre avveniva. Google parla di una «trappola del triage»: chi riceve un allarme e controlla la reputazione dell’indirizzo del produttore lo trova pulito e rischia di archiviare un vero attacco come falso positivo.

La risposta di AOMEI e cosa resta da fare

Mandiant ha avvisato AOMEI il 17 luglio 2026 e il produttore ha comunicato il 29 luglio di aver adottato misure correttive sui server. ManageEngine precisa di non aver verificato in modo indipendente che la compromissione sia stata contenuta. Soprattutto, entrambi i rapporti chiariscono che la correzione lato server non ripulisce i computer che hanno già ricevuto il malware: l’attività pianificata continua a funzionare.

Per questo chi usa AOMEI Backupper, e secondo Google anche AOMEI AnyViewer, dovrebbe controllare i propri computer sull’intero periodo da aprile a luglio. Gli indicatori pubblicati nei due rapporti permettono di farlo:

un’attività pianificata chiamata RadminComponentRuntime o NitroRuntime;
la cartella %LOCALAPPDATA%\Radmin\ con i file BlkScrDl.dll, config.zip o metadata.dat;
la cartella %LOCALAPPDATA%\Nitro Pro\ con NitroPromotion.exe o Eztwain4.dll;
un eseguibile upgrade-now.exe nelle cartelle html o Tmphtml dell’installazione di AOMEI, che normalmente contengono solo file per la grafica;
Radmin Server installato senza indirizzo né credenziali configurati;
connessioni in uscita verso storage-data.com e i suoi sottodomini, o verso gli IP 8.210.84.56, 8.218.65.184 e 47.239.60.117.

Google consiglia inoltre di bloccare il traffico SMB (porta TCP 445) e WebDAV verso indirizzi esterni, misura che chiude la strada al furto degli hash NTLM. Se si trova una corrispondenza, il computer va trattato come compromesso: non basta disinstallare il programma, bisogna rimuovere le attività pianificate e i file, cambiare le password degli account usati su quella macchina e, nei casi più seri, reinstallare il sistema.

Cosa insegna a chi sviluppa software

La lezione vale per qualunque programma desktop che scarica configurazioni da remoto, compresi i gestionali su misura con aggiornamento automatico. ManageEngine e Google indicano alcune regole precise:

firmare digitalmente anche i file di configurazione, non solo gli eseguibili, con crittografia asimmetrica;
non trasmettere l’hash di verifica nello stesso file che contiene l’indirizzo da scaricare;
verificare la firma Authenticode di ogni eseguibile prima di estrarlo o avviarlo, senza affidarsi solo a HTTPS;
accettare download solo da domini del produttore approvati in anticipo;
separare gli aggiornamenti dai canali promozionali e vietare nei visualizzatori interni gli schemi file:// e i percorsi UNC;
monitorare in tempo reale l’integrità dei file sui server di distribuzione.

Il nostro consiglio

Un programma di backup ha per sua natura accesso a tutto il disco e spesso gira con privilegi elevati. Conviene tenere installati solo i programmi davvero necessari, disattivare dove possibile notifiche e contenuti promozionali e controllare periodicamente le attività pianificate di Windows. Se un antivirus o un EDR segnala un processo strano avviato da un programma di aggiornamento, non va chiuso come falso positivo solo perché il sito del produttore sembra pulito: va conservata la configurazione presente sul computer e confrontata con i log di rete del momento esatto dell’allarme. Se hai AOMEI installato e vuoi una verifica, possiamo controllare i tuoi computer con gli indicatori pubblicati.

In breve

Tra aprile e luglio 2026 i server di aggiornamento di AOMEI hanno distribuito malware per finestre di 5-10 minuti.
Il programma non aveva bug: gli attaccanti hanno manomesso file di configurazione non firmati.
I malware si chiamano CROSSROAD e SHINYROAD; una seconda tecnica rubava hash NTLM.
La correzione sui server non pulisce i PC già infettati: serve un controllo con gli indicatori pubblicati.

Fonti

Condividi Articolo:

Barollo Simone Sviluppatore Software e Sistemi. Volontario e direttivo dell’Associazione Movimento 100% APS

Contattaci per maggiori informazioni.