============================================================================== UNC7017 ALTERÓ POR MINUTOS LAS ACTUALIZACIONES DE AOMEI BACKUPPER ============================================================================== Fuente: https://www.vantis.cl/noticias/aomei-backupper-actualizaciones-manipuladas-shinyroad-backdoor Publicado: 2026-10-17 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-20 19:18 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Sysmon Event ID 1 (creación de proceso) y 7 (carga de imagen/DLL) · Windows Security Event ID 4698 (creación de tarea programada) · Microsoft Defender for Endpoint: DeviceProcessEvents, DeviceImageLoadEvents · Logs de proxy/DNS con URL completa y hash de respuesta para dominios de actualización de software · Telemetría de EDR con linaje de proceso (necesaria porque el dropper se autoelimina) ============================================================================== REGLA 1 de 5 · SIGMA (canonica, neutral) Creación de tarea programada asociada a CROSSROAD/SHINYROAD (AOMEI Backupper) ============================================================================== Requiere: Auditoría de creación de tareas programadas habilitada (Windows Security Event ID 4698) o telemetría equivalente de EDR. title: Scheduled Task Creation Matching AOMEI Update-Tampering Campaign id: f3a9c2d4-6b71-4e8a-9c3f-2a7d5e9b1c04 status: experimental description: Detecta la creación de tareas programadas RadminComponentRuntime o NitroRuntime, asociadas a la campaña de manipulación de actualizaciones de AOMEI Backupper documentada por GTIG en octubre de 2026. references: - https://labs.cloudsecurityalliance.org/research/csa-research-note-aomei-backupper-update-server-tampering-20/ author: Vantis - Equipo de Inteligencia de Amenazas date: 2026-10-17 tags: - attack.persistence - attack.t1053.005 logsource: category: scheduled_task product: windows detection: selection: TaskName|contains: - 'RadminComponentRuntime' - 'NitroRuntime' condition: selection falsepositives: - Nombres de tarea idénticos usados legítimamente si el entorno ya tiene convenciones de nombres similares para Radmin o Nitro PDF level: high ============================================================================== REGLA 2 de 5 · MICROSOFT SENTINEL - KQL Creación de tarea RadminComponentRuntime/NitroRuntime (Microsoft Sentinel) ============================================================================== Requiere: Microsoft Defender for Endpoint integrado a Sentinel, tabla DeviceProcessEvents disponible. DeviceProcessEvents | where FileName =~ "schtasks.exe" | where ProcessCommandLine has_any ("RadminComponentRuntime", "NitroRuntime") | project Timestamp, DeviceName, AccountName, ProcessCommandLine, InitiatingProcessFileName ============================================================================== REGLA 3 de 5 · SPLUNK - SPL Creación de tarea RadminComponentRuntime/NitroRuntime (Splunk) ============================================================================== Requiere: index=wineventlog con Event ID 4698 habilitado, o Sysmon desplegado con captura de línea de comandos. index=wineventlog (EventCode=4698) OR (sourcetype="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1 Image="*\\schtasks.exe") | search CommandLine="*RadminComponentRuntime*" OR CommandLine="*NitroRuntime*" OR TaskName="*RadminComponentRuntime*" OR TaskName="*NitroRuntime*" | table _time, host, user, CommandLine, TaskName ============================================================================== REGLA 4 de 5 · SIGMA (canonica, neutral) Carga de DLL no firmada por binario firmado de Radmin (DLL side-loading) ============================================================================== Requiere: Sysmon con Event ID 7 (carga de imagen) habilitado y configurado para registrar DLLs en rutas de usuario. title: Unsigned DLL Loaded by Signed Radmin Binary status: experimental description: Detecta la carga de BlkScrDl.dll por un proceso Radmin firmado, patrón de DLL search-order hijacking usado para ejecutar el backdoor SHINYROAD. references: - https://labs.cloudsecurityalliance.org/research/csa-research-note-aomei-backupper-update-server-tampering-20/ author: Vantis - Equipo de Inteligencia de Amenazas date: 2026-10-17 tags: - attack.defense-evasion - attack.t1574.002 logsource: category: image_load product: windows detection: selection: Image|contains: 'Radmin' ImageLoaded|endswith: 'BlkScrDl.dll' condition: selection falsepositives: - Ninguno conocido: el nombre de archivo es altamente específico de esta campaña; verificar igualmente que el entorno use Radmin de forma legítima antes de escalar como incidente mayor level: critical ============================================================================== REGLA 5 de 5 · WAZUH / VERIFICACION EN HOST Alerta sobre artefactos de CROSSROAD en rutas de usuario (Wazuh) ============================================================================== Requiere: Agente Wazuh con módulo Sysmon integrado (sid 61603 corresponde a Event ID 7 de Sysmon en el decoder estándar). 61603 (?i)radmin (?i)BlkScrDl\.dll Posible carga de DLL no firmada asociada a campaña de manipulación de actualizaciones AOMEI (SHINYROAD) T1574.002 ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== RadminComponentRuntime y NitroRuntime son nombres de tarea muy específicos de esta campaña; la probabilidad de colisión con software legítimo es baja, pero organizaciones que usan Radmin de forma administrativa legítima deben confirmar la presencia simultánea de BlkScrDl.dll sin firma antes de escalar como incidente confirmado. Esta nota de CSA no publica las direcciones IP ni los dominios exactos de comando y control usados por el actor — solo se mencionan en términos genéricos en la fuente —, por lo que no se incluyen aquí; equipos que necesiten bloquearlos deben solicitar el reporte técnico original de GTIG. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================