A infraestrutura da AOMEI, empresa especializada em softwares de backup e recuperação de sistema, sofreu um ataque à cadeia de suprimentos, no qual hackers conseguiram manipular arquivos de configuração dos servidores de atualização e notificações do software AOMEI Backupper para disseminar malwares sem o conhecimento dos usuários.
A campanha foi descoberta por unidades de pesquisa de segurança da ManageEngine e do Google Threat Intelligence Group, além da Mandiant. Os relatórios indicaram que o grupo de ameaças conhecido como UNC7017 realizou ataques precisos por meio da manipulação temporária de arquivos de configuração nos servidores da empresa, substituindo-os por apenas alguns minutos e retornando-os ao estado normal para ocultar os vestígios do ataque.
Detalhes do ataque e mecanismo de distribuição
Os atacantes aproveitaram janelas de tempo curtas e rápidas nos meses de maio e julho de 2026 para distribuir arquivos de configuração modificados que contornaram os testes de integridade de arquivos através da alteração dos valores de hash (Checksum). Essa manipulação fez com que o software baixasse automaticamente conteúdo malicioso, incluindo a ferramenta de administração remota (Radmin), um novo carregador de malware conhecido como CROSSROAD, além de um backdoor chamado SHINYROAD.
A campanha visou diversas organizações em vários países, incluindo Estados Unidos, Austrália, Índia, Singapura, Espanha e Suíça, abrangendo setores como tecnologia da informação, comunicações e ensino superior. Durante os ataques, os invasores também tentaram roubar hashes de autenticação do Windows (NTLM hashes) ao forçar o sistema a acessar recursos da web (WebDAV) controlados pelos atacantes.
O que muda na prática?
As entidades de segurança confirmaram que as correções realizadas pela AOMEI em seus servidores e a atualização de seus sistemas contribuem para prevenir futuras infecções, contudo, isso não remove os malwares ou backdoors que já foram instalados nos dispositivos dos usuários durante as janelas de exposição anteriores.
Recomendações importantes para as organizações afetadas:
- Revisar os indicadores de comprometimento publicados pelas equipes de pesquisa de segurança.
- Verificar tarefas agendadas suspeitas nos dispositivos que utilizam o software.
- Verificar a ausência de arquivos executáveis inesperados dentro dos caminhos de instalação do AOMEI Backupper.
- Monitorar quaisquer conexões de rede de saída em direção a infraestruturas suspeitas identificadas nos relatórios de segurança.