UNC7017 alteró por minutos las actualizaciones de AOMEI Backupper

Entre mayo y julio de 2026 un actor rastreado por Google Threat Intelligence Group modificó archivos de configuración en los servidores de AOMEI durante ventanas de 5 a 10 minutos para instalar un backdoor persistente. El fix del proveedor en el servidor no limpia los equipos que ya lo descargaron.

Qué pasó

Qué encontraron

Este análisis parte de una nota de investigación publicada por Cloud Security Alliance (CSA Labs) el 17 de octubre de 2026, que a su vez sintetiza dos investigaciones independientes: la de Google Threat Intelligence Group (GTIG) y Mandiant, que identificaron y nombraron el malware, y la del ManageEngine Threat Analysis Lab (METAL), cuya telemetría de endpoint detectó la actividad por primera vez. CSA Labs no es fuente primaria de este hallazgo; funciona como capa de síntesis, y por eso cada hecho de este artículo se atribuye a quien lo investigó directamente.

METAL observó el 28 de mayo de 2026 que AOMEI Backupper instalaba Radmin en dos endpoints no relacionados, en países distintos — comportamiento anómalo para un software de backup. Cuando una de esas organizaciones escaló el hallazgo el 7 de junio, el dropper ya se había autoeliminado y su hash no estaba en VirusTotal. METAL entonces puso bajo monitoreo las URLs de descarga de AOMEI y capturó una manipulación en curso el 16 de julio; GTIG y Mandiant reportan una tercera ventana el 20 de julio.

Las tres ventanas confirmadas

| Fecha (2026) | Ventana (UTC) | Duración | Cambio observado |

|---|---|---|---|

| 28 de mayo | 05:40–05:50 | 10 min | Primera entrega documentada de CROSSROAD |

| 16 de julio | 08:33–08:39 | 6 min | Manipulación capturada por el monitoreo de METAL |

| 20 de julio | 10:35–10:40 | 5 min | Descarga movida a Google Cloud Storage; pop-up usado para forzar autenticación NTLM |

La duración acotada no es casualidad: una consulta posterior a las URLs del proveedor, el chequeo típico de triage tras una alerta, no muestra nada anómalo porque el archivo ya volvió a su contenido legítimo. GTIG recomienda preservar la configuración cacheada en el propio endpoint en vez de confiar en una verificación en vivo contra el servidor.

Cómo funciona la cadena

AOMEI Backupper consulta periódicamente un archivo down_html.ini que indica versión, un valor MD5 y una URL de descarga. Un segundo servicio lee Notifycfg.ini, que define ventanas emergentes y puede lanzar programas locales. Ninguno de los dos archivos está firmado.

Cuando el cliente recibía el archivo alterado, descargaba y ejecutaba upgrade-now.exe (CROSSROAD), que: verifica mediante servicios de geolocalización por IP que el equipo no esté en China y aborta si lo está; usa un mutex para evitar instancias concurrentes; restaura down_html.ini a su contenido legítimo para ocultar el cambio; descarga un paquete adicional a %LOCALAPPDATA%\Radmin\; registra una tarea programada llamada RadminComponentRuntime que corre cada tres horas; y se autoelimina mediante un proceso hijo y renombrado de flujos alternativos de datos NTFS (ADS) — la razón por la que METAL no encontró un dropper que analizar.

El paquete instalado incluye binarios de Radmin legítimos y firmados por Famatech, junto con una DLL sin firmar, BlkScrDl.dll, que el ejecutable firmado carga por *DLL search-order hijacking*. Esa DLL registra un servidor COM (RuntimeComponent.dll) que embebe un intérprete PocketPy y ejecuta bytecode Python cifrado en memoria: esto es SHINYROAD, el backdoor final. Ofrece una shell remota interactiva, agrega tráfico basura a sus comunicaciones y usa un único dominio de C2 codificado. SHINYROAD no tiene persistencia propia: depende de la tarea programada que creó CROSSROAD.

En julio, el actor desplegó además Adaptix C2 (framework de post-explotación de código abierto) disfrazado de componentes de Nitro PDF, con una segunda tarea programada llamada NitroRuntime. La ventana del 20 de julio sumó dos técnicas: la descarga se movió a storage.googleapis.com (posiblemente para evadir bloqueos de dominios recién registrados), y el Notifycfg.ini modificado definía un pop-up de 1x1 píxel apuntando a una ruta file:// vía WebDAV en una IP del atacante. Al renderizar ese pop-up, Windows intenta autenticarse contra el servidor remoto, lo que puede exponer una respuesta NetNTLMv2 sin que se ejecute código malicioso en el equipo.

GTIG atribuye la campaña a UNC7017 por patrones consistentes de herramientas e infraestructura entre oleadas, sin nombrar un actor estatal o criminal específico. El medio por el cual el atacante obtuvo acceso de escritura a los servidores de AOMEI no fue revelado en las fuentes citadas por CSA.

Víctimas confirmadas: organizaciones de TI, telecomunicaciones y educación superior en 11 países (Australia, Brasil, India, Pakistán, Portugal, Singapur, Sudáfrica, España, Suiza, Türkiye y Estados Unidos). Dado lo breve de las ventanas, el número total de sistemas afectados se desconoce.

Por qué importa acá

No hay evidencia pública de organizaciones chilenas afectadas — ninguno de los 11 países confirmados es Chile, y las fuentes revisadas no lo mencionan. Dicho eso, AOMEI Backupper es uno de los productos de backup gratuitos más instalados en pymes, equipos de uso personal y, en algunos casos, carteras de clientes de proveedores de servicios gestionados (MSP) en Chile y la región; AnyViewer, del mismo fabricante, se usa como alternativa gratuita a TeamViewer.

Evaluación (confianza baja-media): es plausible que haya instalaciones de AOMEI Backupper en Chile que hayan consultado el servidor de actualización durante alguna de las tres ventanas documentadas, dado el volumen de usuarios del producto. Lo que juega en contra de esa hipótesis es justamente lo que hizo eficaz al ataque para el operador: ventanas de 5 a 10 minutos reducen fuertemente la probabilidad de que cualquier instalación puntual coincidiera con el momento exacto de la manipulación. No tenemos forma de confirmar ni descartar esto sin telemetría propia — es exactamente el tipo de caso donde la respuesta correcta es "no sabemos", y donde la acción correcta es buscar los artefactos localmente en vez de asumir exposición o asumir que no la hay.

Lo que sí es estructural, independiente de si hubo o no un equipo chileno en la ventana de minutos: un software de backup corre con privilegios elevados y acceso de lectura a gran parte del disco, por lo que su compromiso potencialmente expone más datos que el de una utilidad típica — incluyendo credenciales de backup y acceso a repositorios. Si una organización chilena clasificada como OIV u OEE bajo la Ley 21.663 confirma esta infección en su infraestructura, corresponde evaluar el deber de reporte a ANCI según los plazos y criterios que esa ley establece; no citamos plazos específicos aquí porque no los verificamos para este caso. Si el equipo comprometido tenía acceso a datos personales — algo probable dado que es un agente de backup —, aplica además la Ley 21.719 en lo relativo a brechas de datos personales, con la obligación de evaluar el riesgo para los titulares.

El paralelo más útil para equipos de TI en Chile es el de confianza en el canal de actualización como superficie no inspeccionada. La mayoría de las organizaciones audita el instalador de un software de terceros una vez, en la adquisición, pero no monitorea la integridad continua de su canal de actualización. Este caso — junto con el precedente de Notepad++ a inicios de 2026, donde un actor con hosting comprometido sirvió instaladores troyanizados de forma selectiva y sostenida — muestra que ese canal es un vector reutilizable independientemente del actor.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1195.002 — El vector de entrada es el propio mecanismo de actualización de AOMEI Backupper/AnyViewer, manipulado en el servidor durante ventanas de minutos.
• T1574.002 — El ejecutable firmado de Radmin carga la DLL no firmada BlkScrDl.dll por orden de búsqueda, evadiendo controles que solo validan la firma del binario principal.
• T1053.005 — Las tareas RadminComponentRuntime (cada 3 horas) y NitroRuntime son el mecanismo real de persistencia; SHINYROAD no persiste por sí mismo.
• T1070.004 — CROSSROAD se autoelimina usando un proceso hijo y renombrado de flujos alternativos de datos NTFS, lo que explica que no quedara dropper para analizar.
• T1620 — SHINYROAD ejecuta bytecode Python cifrado en memoria mediante un intérprete PocketPy embebido en un servidor COM, sin dejar el payload final en disco como archivo ejecutable.
• T1187 — El pop-up de 1x1 píxel definido en Notifycfg.ini apunta a una ruta file:// vía WebDAV, forzando a Windows a intentar autenticación NTLM y exponiendo una respuesta NetNTLMv2 sin ejecutar malware.
• T1071 — SHINYROAD se comunica con una dirección de C2 codificada en el binario usando un protocolo propio, agregando tráfico basura para dificultar el análisis.

RadminComponentRuntime
NitroRuntime
BlkScrDl.dll
RuntimeComponent.dll
upgrade-now.exe
%LOCALAPPDATA%\Radmin\
%LOCALAPPDATA%\Nitro Pro\
down_html.ini
Notifycfg.ini

title: Scheduled Task Creation Matching AOMEI Update-Tampering Campaign
id: f3a9c2d4-6b71-4e8a-9c3f-2a7d5e9b1c04
status: experimental
description: Detecta la creación de tareas programadas RadminComponentRuntime o NitroRuntime, asociadas a la campaña de manipulación de actualizaciones de AOMEI Backupper documentada por GTIG en octubre de 2026.
references:
    - https://labs.cloudsecurityalliance.org/research/csa-research-note-aomei-backupper-update-server-tampering-20/
author: Vantis - Equipo de Inteligencia de Amenazas
date: 2026-10-17
tags:
    - attack.persistence
    - attack.t1053.005
logsource:
    category: scheduled_task
    product: windows
detection:
    selection:
        TaskName|contains:
            - 'RadminComponentRuntime'
            - 'NitroRuntime'
    condition: selection
falsepositives:
    - Nombres de tarea idénticos usados legítimamente si el entorno ya tiene convenciones de nombres similares para Radmin o Nitro PDF
level: high

DeviceProcessEvents
| where FileName =~ "schtasks.exe"
| where ProcessCommandLine has_any ("RadminComponentRuntime", "NitroRuntime")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine, InitiatingProcessFileName

index=wineventlog (EventCode=4698) OR (sourcetype="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1 Image="*\\schtasks.exe")
| search CommandLine="*RadminComponentRuntime*" OR CommandLine="*NitroRuntime*" OR TaskName="*RadminComponentRuntime*" OR TaskName="*NitroRuntime*"
| table _time, host, user, CommandLine, TaskName

title: Unsigned DLL Loaded by Signed Radmin Binary
status: experimental
description: Detecta la carga de BlkScrDl.dll por un proceso Radmin firmado, patrón de DLL search-order hijacking usado para ejecutar el backdoor SHINYROAD.
references:
    - https://labs.cloudsecurityalliance.org/research/csa-research-note-aomei-backupper-update-server-tampering-20/
author: Vantis - Equipo de Inteligencia de Amenazas
date: 2026-10-17
tags:
    - attack.defense-evasion
    - attack.t1574.002
logsource:
    category: image_load
    product: windows
detection:
    selection:
        Image|contains: 'Radmin'
        ImageLoaded|endswith: 'BlkScrDl.dll'
    condition: selection
falsepositives:
    - Ninguno conocido: el nombre de archivo es altamente específico de esta campaña; verificar igualmente que el entorno use Radmin de forma legítima antes de escalar como incidente mayor
level: critical

<rule id="100601" level="14">
  <if_sid>61603</if_sid>
  <field name="win.eventdata.image" type="pcre2">(?i)radmin</field>
  <field name="win.eventdata.imageLoaded" type="pcre2">(?i)BlkScrDl\.dll</field>
  <description>Posible carga de DLL no firmada asociada a campaña de manipulación de actualizaciones AOMEI (SHINYROAD)</description>
  <mitre>
    <id>T1574.002</id>
  </mitre>
</rule>

Fuentes

• Cloud Security Alliance (CSA Labs)AOMEI Backupper Update Tampering: Minute-Long Windows, Persistent Backdoor · 2026-10-17
• Google Threat Intelligence Group / MandiantInvestigating Ephemeral Supply Chain Tampering · 2026-10-15
• ManageEngine Threat Analysis Lab (METAL)AOMEI Backupper supply-chain compromise: Investigation and analysis · 2026-10-16
• The Hacker NewsAttackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor · 2026-10-16
• eSecurity PlanetNotepad++ Update Servers Hijacked in Targeted Supply Chain Attack · 2026-02-02

Relacionado