Entre maio e julho de 2026, criminosos alteraram repetidamente arquivos que o AOMEI Backupper busca nos próprios servidores de atualização da fabricante. Cada alteração durou de cinco a dez minutos. Quem verificasse atualizações nesse intervalo baixava um backdoor, um acesso secreto que dá controle remoto ao invasor.

A campanha foi revelada pelo Google Threat Intelligence Group, pela Mandiant e pelo laboratório ManageEngine. Segundo eles, a AOMEI disse ter corrigido os servidores, mas o conserto não remove o backdoor de computadores que já foram atingidos.

Nenhum programa foi explorado e não havia uma falha no software. Bastava estar instalado e rodando, porque ele consulta atualizações automaticamente. O atacante só precisou trocar dois arquivos de texto no servidor por alguns minutos. Esses arquivos dizem qual pacote baixar e o que mostrar ou executar nas janelas de aviso. O programa também não verifica criptograficamente a autenticidade dos arquivos, e a soma de verificação que deveria validar o download vem no mesmo arquivo não assinado.

As janelas confirmadas foram 28 de maio de 2026 (05:40 às 05:50 UTC), 16 de julho (08:33 às 08:39 UTC) e 20 de julho (10:35 às 10:40 UTC), e os pesquisadores acreditam que houve outras. Só foram afetadas as cópias que consultaram o servidor durante esses minutos. Os pesquisadores identificaram organizações de serviços de TI, telecomunicações e educação superior em 11 países, entre eles Brasil, Austrália, Índia, Portugal, Espanha e Estados Unidos. A campanha foi considerada oportunista e o grupo responsável é rastreado como UNC7017, sem país ou autor identificado.

Nas máquinas atingidas, um downloader chamado CROSSROAD instalava arquivos em uma pasta do Radmin, um programa legítimo de administração remota, e criava uma tarefa agendada que roda a cada três horas. Depois ele se apagava do disco. O Radmin assinado chegava instalado mas sem ser ativado; o controle remoto vinha de outro implante, o SHINYROAD, que se conecta a um único endereço fixo. Em alguns casos, uma segunda ferramenta, o Adaptix C2, era instalada disfarçada de programa de PDF. O CROSSROAD para em máquinas localizadas na China e também se encerra se encontrar certos programas de segurança.

Na janela de 20 de julho, o invasor também alterou o arquivo de aviso para abrir uma janela invisível de um pixel apontando para um arquivo em um servidor dele, via WebDAV. Isso podia fazer o Windows enviar a credencial do usuário logado, sem nenhum programa rodar. Por isso, uma máquina sem o backdoor bloqueado ainda poderia vazar esse dado.

O laboratório ManageEngine percebeu a atividade em 28 de maio, quando o software registrou a instalação do Radmin em dois clientes de países diferentes. Um cliente reportou o caso em 7 de junho e a AOMEI foi avisada no mesmo dia. A empresa inicialmente disse que o conteúdo havia sido interceptado no caminho, mas as evidências mostraram que os arquivos vieram diretamente dos servidores dela. A Mandiant avisou a AOMEI em 17 de julho e a empresa afirmou, em 29 de julho, ter tomado medidas corretivas. Ainda não há informação sobre como o invasor conseguiu alterar os arquivos nem sobre quais versões são afetadas. O laboratório analisou a versão 8.3.0, e o changelog da versão atual, 8.5.0, não menciona mudanças na verificação de atualizações.

O que fazer: o servidor corrigido não limpa computadores infectados, e a máquina pode parecer normal. Quem usa softwares da AOMEI deve investigar todo o período de abril a julho. Não confie na página de download atual para avaliar um alerta, porque ela quase sempre mostra arquivos legítimos. Preserve os arquivos guardados nas pastas do programa e verifique os registros de rede do momento do alerta. Procure a tarefa agendada RadminComponentRuntime ou NitroRuntime, um arquivo upgrade-now.exe sem assinatura com dados da AOMEI e arquivos dentro da pasta de dados do Radmin. Bloqueie os domínios e endereços citados nos relatórios e o tráfego SMB e WebDAV para endereços externos. Siga também as instruções oficiais da fabricante e mantenha os sistemas atualizados.