AOMEI Backupper repartió una puerta trasera en sus actualizaciones

17 octubre, 20263 min de lectura

Si usas AOMEI Backupper para respaldar tus computadoras, o AnyViewer para dar soporte remoto, conviene revisar tus equipos. Google y Mandiant revelaron que unos atacantes alteraron por unos minutos los servidores de actualización de AOMEI y repartieron programas maliciosos a quien buscó una actualización en ese momento.

Lo delicado es que el problema ya se corrigió en los servidores, pero no en las computadoras que alcanzaron a infectarse.

¿Qué pasó?

El 15 de octubre de 2026, el Grupo de Inteligencia de Amenazas de Google (GTIG) y Mandiant publicaron una investigación sobre un grupo que identifican como UNC7017. Según el reporte, entre abril y julio de 2026 este grupo modificó los archivos que los programas de AOMEI consultan para saber si hay una versión nueva. Backupper y AnyViewer comparten esa infraestructura.

Los cambios duraron muy poco: el reporte confirma ventanas de entre 5 y 10 minutos el 28 de mayo, el 16 de julio y el 20 de julio, y advierte que probablemente hubo más. Fuera de esas ventanas, los servidores entregaban archivos legítimos, por eso costó tanto detectarlo. El primer aviso lo dio el laboratorio de amenazas de ManageEngine, que vio actividad extraña a finales de mayo.

No se aprovechó ninguna falla del programa. Los archivos de configuración no estaban firmados digitalmente, así que bastó con cambiarlos para que el programa descargara un instalador falso. Ese instalador, llamado CROSSROAD, dejaba una tarea programada que se ejecuta cada tres horas e instalaba una puerta trasera llamada SHINYROAD, es decir, un programa que permite controlar la computadora a distancia. Después restauraba el archivo original para borrar sus huellas.

Hubo víctimas en 11 países, entre ellos Estados Unidos, Brasil, India y España, sobre todo en empresas de servicios de TI, telecomunicaciones y universidades. Mandiant avisó a AOMEI el 17 de julio y la empresa respondió el 29 de julio que ya había corregido sus servidores. The Hacker News también cubrió la investigación.

¿Por qué te importa?

Un programa de respaldos suele correr con permisos altos y en muchos equipos a la vez, así que es un blanco muy atractivo. Este caso muestra que actualizar desde el sitio oficial no siempre basta si el proveedor no firma sus archivos.

Si das mantenimiento a computadoras de clientes o de una oficina, una máquina infectada puede verse completamente normal, porque el atacante limpió el archivo que modificó. Por eso, según Google, hay que revisar los equipos aunque el programa ya esté al día.

¿Qué puedes hacer?

Haz una lista de los equipos que tenían AOMEI Backupper o AnyViewer instalados entre abril y julio de 2026.
Abre el Programador de tareas de Windows y busca tareas llamadas RadminComponentRuntime o NitroRuntime; si aparecen y no las creaste tú, aísla el equipo de la red.
Revisa si existe una carpeta llamada Radmin o Nitro Pro dentro de la carpeta local de AppData del usuario cuando no instalaste esos programas.
Pasa un antivirus actualizado y, si tienes una consola de seguridad, busca los indicadores que publicó Google en su reporte.
Ante una infección confirmada, cambia las contraseñas usadas en ese equipo y considera reinstalar el sistema desde cero.

Sigue leyendo

Fuentes

Google Cloud Threat Intelligence: Investigating Ephemeral Supply Chain Tampering
The Hacker News: Attackers Tampered with AOMEI Backupper’s Update Servers for Minutes to Deliver a Backdoor