Onderzoekers waarschuwen voor een supply-chain aanval waarbij AOMEI Backupper backdoor werd verspreid via de eigen update-infrastructuur van AOMEI. Cruciaal: er was geen kwetsbaarheid in de Windows-software zelf en gebruikers hoefden niets extra’s te doen. Alles draaide om het wijzigen van bestanden die de updater van AOMEI tijdens korte tijdvensters ophaalt.
Het resultaat is ingrijpend. Wanneer een Backupper-installatie precies in zo’n venster controleerde op updates, kon een aangepaste update worden gedownload en gestart, met als gevolg dat een implant op het systeem werd geïnstalleerd.
Hoe de AOMEI Backupper backdoor precies is geleverd
De aanval werkte door de updatebestanden op AOMEI’s servers aan te passen. Volgens de analyses werden tussen mei en juli 2026 bestanden herhaaldelijk gewijzigd in tijdvensters van ongeveer vijf tot tien minuten. Als Backupper in die periode een updatecheck deed, haalde het programma de aangepaste inhoud op.
De updater gebruikt twee configuratiebestanden om te bepalen welke update moet worden gedownload en wat er moet worden getoond/uitgevoerd. De belangrijkste bevindingen:
- De bestanden worden niet cryptografisch geverifieerd.
- De checksum die moet bewijzen dat de download echt is, zit bovendien in hetzelfde (ongedekte) bestand dat ook de pakketnaam aanwijst.
- Omdat beide gegevens met de updateaanwijzing meewijzigden, kon de software worden misleid tijdens de normale updateflow.
Er werd dus niet “gehackt” in de klassieke zin van een bug-exploit in Backupper. In plaats daarvan volstond het manipuleren van twee tekstbestanden op de server. Daarmee kan een aanval tegelijk lastig detecteerbaar zijn (door de korte duur) én moeilijk te beoordelen (omdat de pagina’s later weer “kloppen”).
Waarom de aanval zo lastig te vangen is
De wijziging was kort en gebeurde “op afspraak” met het moment waarop clients poll-den op updates. Onderzoekers bevestigden meerdere tijdvensters, en stelden dat er waarschijnlijk meer zijn geweest die zij niet zagen.
Daarnaast is er een belangrijk misleidend effect: wanneer je nu kijkt naar de downloadpagina van AOMEI, zie je (bij correctie) meestal weer de echte bestanden. Daardoor worden echte meldingen door teams soms weggezet als vals alarm, terwijl de besmetting al op een eerder moment is gebeurd.
Deze aanpak ondergraaft “punt-in-tijd” triage: als je enkel controleert wat er nú wordt aangeboden, mis je wat in het verleden precies is geleverd.
De getimede vensters (geobserveerd)
Google Threat Intelligence Group (GTIG) en Mandiant benoemden drie gemeten tijdvensters waarin de serverinhoud werd aangepast. In grote lijnen ging het om minutenlange campagnes:
- 28 mei 2026: 10 minuten (05:40 tot 05:50 UTC)
- 16 juli 2026: 6 minuten (08:33 tot 08:39 UTC)
- 20 juli 2026: 5 minuten (10:35 tot 10:40 UTC)
Verder gaf GTIG aan dat de targeting “opportunistisch” was: systemen die net op dat moment checkten, werden geraakt.
Wat er landde op getroffen Windows-systemen
Volgens de onderzoekers installeerden getroffen systemen niet alleen een downloader, maar ook vervolgstappen die remote besturing mogelijk maakten. In grote lijnen verliep het als volgt:
- Een downloader (CROSSROAD genoemd in de analyses) pakte een bundel uit in een lokale map.
- Daarna plaatste de malware een geplande taak om periodiek te draaien (elke drie uur).
- De downloader verwijderde zichzelf vervolgens van schijf.
In de bundel zat een legitiem, gesigneerd onderdeel van Radmin (een commerciële remote-administration tool). Dat onderdeel werd volgens ManageEngine’s lab wel klaargezet, maar niet “volledig” benut met een luisterfunctie of nieuwe account. De daadwerkelijke controle kwam uit een afzonderlijke implant.
De geplande taak draait een gesigneerd Radmin-programma dat vervolgens een aanvaller-gebouwde DLL laadt. Die DLL activeert de SHINYROAD-implant, die een remote shell biedt en op commando nieuwe code kan ophalen en uitvoeren.
De implant communiceerde met een hard-coded adres zonder back-up. Het blokkeren van die ene infrastructuur kan de command & control-keten effectief afkappen.
Extra truc: tokenlekkage zonder zichtbare uitvoering
In het venster van 20 juli zagen onderzoekers een tweede component die niet noodzakelijk “programma-run” vereiste. De meldingsconfiguratie was zodanig aangepast dat Windows een onzichtbare pop-up kon tonen naar een bestand op een aanvallersserver via WebDAV.
Het effect hiervan is dat Windows (tijdens rendering) een authenticatieantwoord kan versturen: het NetNTLMv2-token van de ingelogde gebruiker. Zelfs als je de backdoor zelf blokkeert, kan zo’n stap alsnog credential-gerelateerde informatie lekken die een aanvaller offline kan proberen te kraken of opnieuw kan gebruiken.
Beperking en “afhaken” op sommige systemen
Niet elke machine kreeg dus automatisch dezelfde behandeling. CROSSROAD zou stoppen als het systeem in een bepaalde regio (China) lijkt te zitten. Daarnaast werd gemeld dat het ook stopt wanneer het specifieke security agents op de host aantreft. Op systemen die wel doorgingen, zagen onderzoekers een extra tool pushen bovenop de SHINYROAD-implant.
Onderzoekers noemden dat die follow-on tool uit een open-source C2-framework komt (genoemd als Adaptix) en werd vermomd als “Nitro PDF” software.
Wat je nu moet controleren (en vooral: niet alleen op de vendorpagina)
Ook al stelt AOMEI dat server-side correcties zijn doorgevoerd, betekent dat niet automatisch dat getroffen endpoints schoon zijn. In de analyses werd beschreven dat de downloader na installatie de lokale updatebestanden terug kan zetten naar “genuine” inhoud. Daardoor kan een machine er achteraf normaal uitzien.
Daarom waarschuwen GTIG en Mandiant expliciet om niet te oordelen op basis van wat je vandaag ziet op de downloadpagina. Door de korte vensters kan die pagina in vrijwel alle gevallen nu weer correct lijken.
Endpoint-hunt: kijk naar taken, bestanden en stagingmappen
Onderzoekers noemen concrete indicatoren om op endpoints te zoeken:
- Geplande taak: RadminComponentRuntime, of NitroRuntime voor de follow-on tool.
- Bestand: een niet-ondertekend upgrade-now.exe met uitgeverdetails van AOMEI, of een proces dat draait vanuit de html-pop-up map van Backupper.
- Map: attacker files die zijn gestaged onder de lokale Radmin “application-data” folder.
Een praktische tip: bewaar of verzamel bestanden uit de Backupper-map waar de update daadwerkelijk terechtkwam. Omdat de backdoor eerder is geactiveerd, kan “alleen bijwerken” onvoldoende zijn voor forensisch onderzoek.
Netwerk-hunt: blokkeer de genoemde infrastructuur en beperk uitgaand SMB/WebDAV
Daarnaast adviseerden de onderzoekers om netwerkverkeer te onderzoeken en waar mogelijk te blokkeren. Zij noemden onder meer de aanvallerinfrastructuur en gaven richting voor het beperken van uitgaande protocollen die passen bij de credential-truc.
- Domeinen: storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com
- IP-adressen: 8.210.84[.]56, 8.218.65[.]184, 47.239.60[.]117
- Beperk uitgaand: SMB (TCP 445) en WebDAV naar externe adressen om het token-effect te verminderen.
Welke impact dit heeft op je organisatie hangt af van je normale verkeer, maar als je een “least privilege”-strategie volgt, kun je vaak gericht beperken zonder alles stil te zetten.
Welke versie en doelgroep: wat we wel en niet weten
De rapporten laten volgens de broninformatie niet zien welke Backupper-versies exact zijn getroffen. In het lab is wel een versie onderzocht: Backupper 8.3.0. Ook wordt geen totaal aantal slachtoffers genoemd, behalve dat GTIG aangaf dat het waarschijnlijk hoger is dan de geïdentificeerde organisaties.
Wel werd duidelijk dat de betrokken organisaties in meerdere sectoren vallen, zoals IT services, telecommunicatie en hoger onderwijs, en dat getroffen entiteiten over 11 landen zijn geïdentificeerd: Australië, Brazilië, India, Pakistan, Portugal, Singapore, Zuid-Afrika, Spanje, Zwitserland, Türkiye en de Verenigde Staten.
Snelle vervolgstappen voor teams
Als je AOMEI Backupper gebruikt, is het verstandig om meteen een gerichte incidentrespons-check te starten. Denk daarbij niet alleen aan het “patchen” van software, maar vooral aan een tijdlijn op basis van wanneer updates zijn opgehaald.
Onderzoekers adviseren ook om detection alerts te verfijnen via bestands- en netwerklogica, omdat de vendor-downloadpagina nu vrijwel altijd correct kan zijn.
Wil je bredere context over supply-chain dreigingen en hoe je van losse signalen naar actie komt? Lees dan ook eens contextuele cybersecurity: van losse alerts naar actie.
Gerelateerde thema’s: supply-chain en malafide updates
Dit incident past in een patroon waarbij aanvallers software-updatemechanismen proberen te misbruiken. De verdediging draait vaak om hetzelfde principe: niet alleen naar “nu” kijken, maar vooral naar wat er in het verleden is geleverd en uitgevoerd.
Om dat denkraam te versterken binnen je security-operaties, kan het ook helpen om te bekijken hoe organisaties hun besluitvorming koppelen aan detectie en respons. Een voorbeeld daarvan is AI decision models: sleutel voor je AI SOC.
Conclusie
De AOMEI Backupper backdoor werd niet via een software-bug verspreid, maar via manipulatie van updatebestanden op de eigen serverkant. Door korte tijdvensters en “terugzetten” van lokale bestanden kan een besmet systeem achteraf onschuldig lijken, terwijl de backdoor destijds al is geactiveerd.
Het juiste antwoord is daarom tweeledig: hunt op endpoints (taken, stagingmappen en verdachte bestanden) én hunt op netwerk (infrastructuur en uitgaand SMB/WebDAV). Alleen dan krijg je zicht op wat er echt is binnengekomen en uitgevoerd.
Bron: https://thehackernews.com/2026/10/attackers-tampered-with-aomei.html
