Les mises à jour piégées du logiciel de sauvegarde AOMEI ont installé une porte dérobée

Le 28 mai 2026, l'outil de détection de ManageEngine repère une anomalie chez un client : le logiciel de sauvegarde AOMEI Backupper vient d'installer Radmin, un logiciel légitime de prise en main à distance. Le même enchaînement apparaît sur l'ordinateur d'une autre entreprise, sans lien avec la première, dans un autre pays. Dans les deux cas, c'est le module de promotion intégré au logiciel qui a lancé l'installation.

C'était le premier indice d'une attaque contre la chaîne d'approvisionnement de l'éditeur chinois AOMEI. Le groupe de renseignement sur les menaces de Google (GTIG) et sa filiale Mandiant l'ont détaillée le 15 octobre, et le laboratoire de ManageEngine le 16 octobre. D'avril à juillet 2026, un groupe que Google nomme UNC7017 a modifié à plusieurs reprises des fichiers servis par les propres serveurs d'AOMEI. Chaque modification ne restait en ligne que cinq à dix minutes, puis les fichiers authentiques revenaient. Deux logiciels sont concernés : AOMEI Backupper (ManageEngine l'a observé à partir de la version 8.3.0) et AnyViewer, l'outil de bureau à distance de l'éditeur.

Deux fichiers texte, et le logiciel fait le reste

Aucune faille logicielle n'a été exploitée. Les attaquants ont modifié deux fichiers de configuration : l'un indique au logiciel où télécharger ses paquets, l'autre pilote les notifications affichées à l'utilisateur. Ils ont aussi remplacé la somme de contrôle attendue, si bien que l'archive malveillante passait la vérification. La notification lançait ensuite le programme, sans aucune action de l'utilisateur. « Le mécanisme a fonctionné exactement comme prévu », résume ManageEngine.

Trois fenêtres ont été observées directement : 10 minutes le 28 mai, 6 minutes le 16 juillet et 5 minutes le 20 juillet. Un ordinateur qui interrogeait les serveurs à ce moment-là recevait un téléchargeur, baptisé CROSSROAD par Google. Celui-ci inspecte la machine, s'installe durablement par une tâche planifiée et récupère la suite : une porte dérobée, SHINYROAD, qui détourne des composants authentiques de Radmin pour donner aux attaquants un accès à distance. Le 20 juillet, Google a aussi observé une seconde technique : une fenêtre invisible forçait Windows à se connecter à un serveur des attaquants, ce qui pouvait exposer des empreintes de mots de passe.

Qui a été touché, et comment l'éditeur a réagi

Google recense des organisations dans 11 pays, dont l'Espagne, le Portugal et la Suisse, dans les services informatiques, les télécommunications et l'enseignement supérieur. La France ne figure pas dans la liste. Mais selon Google, les victimes ont été touchées au hasard et sont probablement plus nombreuses que celles identifiées. Le groupe n'est rattaché à aucun pays.

Prévenu par ManageEngine le 7 juin, AOMEI a d'abord avancé que les fichiers avaient été interceptés pendant leur transfert, une explication que les chercheurs jugent contredite par les preuves. Après l'alerte de Mandiant du 17 juillet, l'éditeur a assuré le 29 juillet avoir pris des mesures correctives sur ses serveurs. Dans l'article de BleepingComputer paru le 19 octobre, il dit traiter le sujet en « haute priorité », sous la conduite de son directeur technique. Il n'a pas expliqué comment les attaquants sont entrés.

Que faire si AOMEI tourne dans votre parc ?

Comme lors de la mise à jour piégée de l'extension WordPress Rank Math PRO, le danger est venu du canal de confiance lui-même. Et le correctif appliqué sur les serveurs ne nettoie pas les machines déjà infectées, préviennent Google et ManageEngine.

• Rechercher sur la période d'avril à juillet 2026 les indicateurs publiés par Google et ManageEngine, dont l'adresse IP 8.210.84[.]56 et les noms de domaine sous storage-data[.]com.
• Chercher les tâches planifiées RadminComponentRuntime ou NitroRuntime et toute installation de Radmin non prévue.
• Surveiller les exécutables inattendus dans les dossiers d'AOMEI et les processus non signés lancés par le logiciel.
• Bloquer les connexions SMB et WebDAV sortantes vers Internet.
• Ne pas se fier à un contrôle ponctuel des adresses de l'éditeur : les fichiers piégés ne restaient en ligne que quelques minutes.

Google et ManageEngine recommandent aussi aux éditeurs de signer leurs fichiers de configuration, et pas seulement leurs programmes. AOMEI n'a pas dit s'il l'avait fait.