Хакеры взломали инфраструктуру AOMEI для внедрения бэкдоров в Windows, активировав вредоносные конфигурации всего на пять-десять минут, после чего восстановили легитимный контент. Согласно отчетам Google GTIG, Mandiant и ManageEngine's Threat Analysis Lab (METAL) (1 и 2), кампания проводилась с апреля по июль 2026 года и затронула каналы доставки ПО, используемые AOMEI Backupper и AnyViewer. METAL впервые обнаружила подозрительную активность 28 мая, когда AOMEI Backupper установила ПО для удаленного администрирования на компьютеры двух не связанных между собой клиентов в разных странах. Позже исследователи Mandiant подробно описали более масштабную кампанию, отслеживаемую как UNC7017. AOMEI разрабатывает утилиты для Windows, предназначенные для резервного копирования данных, клонирования дисков и аварийного восстановления, в частности, Backupper, а также программное обеспечение для удаленного доступа к рабочему столу и поддержки AnyViewer. В число выявленных жертв вошли организации, работающие в сфере IT, телекоммуникаций и высшего образования в 11 странах, включая США, Австралию, Индию, Бразилию и ряд европейских стран. Злоумышленники внесли изменения в два конфигурационных файла, используемых процессами фонового обновления и уведомлений AOMEI. Один из файлов, down_html.ini, указывал приложению, куда загрузить архив контента, и предоставлял ожидаемую контрольную сумму MD5. Другой файл, Notifycfg.ini, управлял поведением уведомлений, которые могли запускать локальное выполнение. Ни одна из конфигураций не была криптографически аутентифицирована клиентом. Изменяя как место загрузки, так и соответствующую контрольную сумму, злоумышленники могли заставить вредоносный пакет пройти проверку целостности приложения. METAL нашла неподписанный исполняемый файл upgrade-now.exe, встроенный в 232 рекламных файла. Локальная HTML-страница автоматически запускала его через встроенный браузер приложения, не требуя от пользователя никакого взаимодействия, кроме запуска самого приложения. В этой цепочке использовалось не ПО с целью эксплуатации уязвимости, а злоупотребление существующим поведением приложения. Исследователи подтвердили наличие периодов взлома, длившихся десять минут 28 мая, шесть минут 16 июля и пять минут 20 июля. После этого аутентичные конфигурации восстановливались, а это значит, что исследователи, проверявшие те же URL позже, обнаружили чистый контент. Mandiant охарактеризовала инцидент как свой первый опыт столкновения с компрометацией цепочки поставок ПО с использованием столь коротких сроков поставки. Вредоносный пакет распространял CROSSROAD, загрузчик, который загружал дополнительные компоненты, создавал постоянное присутствие в запланированных задачах и удалял себя. Впоследствии бэкдор SHINYROAD использовал легитимный исполняемый файл Radmin с цифровой подписью для загрузки вредоносной DLL-библиотеки. Его возможности включали удаленное управление командной оболочкой и получение дополнительного кода во время выполнения. METAL подтвердила установку подлинного Radmin Server, но не обнаружила никаких признаков его работы. 20 июля злоумышленники также настроили невидимое окно уведомлений для запроса удаленного ресурса WebDAV. Это могло бы раскрыть данные аутентификации Windows NetNTLMv2 без запуска вредоносного ПО, что потенциально позволило бы осуществлять взлом паролей или атаки с использованием ретранслятора аутентификации. METAL уведомила AOMEI 7 июня, а затем Mandiant - 17 июля. 29 июля AOMEI сообщила Mandiant о принятии мер по исправлению ситуации. При этом исследователи отмечают, что восстановление серверов не удаляет вредоносное ПО, уже установленное на компьютерах. Использующим любой из затронутых продуктов, следует провести расследование активности в течение апреля-июля, включая обнаружение неожиданных исполняемых файлов в каталогах html AOMEI и запланированных задач с именами RadminComponentRuntime или NitroRuntime.