La infraestructura de la empresa AOMEI, especializada en software de copia de seguridad y recuperación de sistemas, sufrió un ataque a la cadena de suministro, donde piratas informáticos lograron manipular los archivos de configuración de los servidores de actualizaciones y notificaciones del programa AOMEI Backupper para distribuir software malicioso sin el conocimiento de los usuarios.
La campaña fue descubierta por unidades de investigación de seguridad de las empresas ManageEngine y Google Threat Intelligence Group, además de la empresa Mandiant. Los informes indicaron que el actor de amenazas conocido como UNC7017 llevó a cabo ataques precisos mediante la manipulación temporal de los archivos de configuración en los servidores de la empresa, reemplazándolos solo por unos minutos y luego devolviéndolos a su estado normal para ocultar las huellas del ataque.
Detalles del ataque y mecanismo de distribución
Los atacantes aprovecharon breves y rápidos periodos de tiempo en los meses de mayo y julio de 2026 para distribuir archivos de configuración modificados que superaron las pruebas de integridad de archivos mediante la alteración de los valores de hash (Checksum). Esta manipulación provocó que el programa descargara automáticamente contenido malicioso que incluía la herramienta de administración remota (Radmin), un nuevo cargador de malware conocido como CROSSROAD, además de una puerta trasera denominada SHINYROAD.
La campaña tuvo como objetivo diversas organizaciones en múltiples países, incluyendo Estados Unidos, Australia, India, Singapur, España y Suiza, abarcando sectores como las tecnologías de la información, las comunicaciones y la educación superior. Durante los ataques, los atacantes también intentaron robar hashes de autenticación de Windows (NTLM hashes) forzando al sistema a acceder a recursos web (WebDAV) controlados por los atacantes.
¿Qué cambia en la práctica?
Las entidades de seguridad confirmaron que las reparaciones realizadas por AOMEI en sus servidores y la actualización de sus sistemas contribuyen a prevenir futuras infecciones, sin embargo, esto no elimina el software malicioso ni las puertas traseras que ya fueron instaladas en los dispositivos de los usuarios durante las breves ventanas de exposición anteriores.
Recomendaciones importantes para las organizaciones afectadas:
- Revisar los indicadores de compromiso publicados por los equipos de investigación de seguridad.
- Examinar las tareas programadas sospechosas en los dispositivos que utilizan el programa.
- Verificar la ausencia de archivos ejecutables inesperados dentro de las rutas de instalación de AOMEI Backupper.
- Monitorear cualquier conexión de red saliente hacia infraestructuras sospechosas identificadas en los informes de seguridad.