Un ataque diseñado para pasar desapercibido
AOMEI Backupper no es una herramienta menor: más de cien millones de usuarios confían en ella para proteger sus datos. Precisamente esa escala y esa confianza fueron las que UNC7017 explotó entre abril y julio de 2026. El grupo modificó los archivos de configuración de los servidores de actualización de AOMEI durante ventanas de apenas cinco a diez minutos — tres ocurrencias confirmadas por el Google Threat Intelligence Group (GTIG): diez minutos el 28 de mayo, seis minutos el 16 de julio y cinco minutos el 20 de julio. Un intervalo lo suficientemente corto para burlar los análisis en tiempo real, pero lo suficientemente largo para infectar los equipos que comprobaban sus actualizaciones en el momento equivocado.
La brevedad como técnica de evasión
La verdadera innovación táctica de UNC7017 reside en esa calculada brevedad. Las herramientas de seguridad tradicionales se basan en observaciones puntuales: un archivo limpio a las 9:01, todavía limpio a las 9:12, no genera ninguna alerta — aunque haya servido para comprometer miles de equipos en ese intervalo. Los atacantes manipularon dos archivos de configuración en la infraestructura de AOMEI: el primero redirigía las descargas de actualizaciones hacia un archivo ZIP malicioso alojado en servidores bajo su control; el segundo instruía a la aplicación para que ejecutara el contenido descargado. Una vez cerrada la ventana de manipulación, los servidores de AOMEI recuperaban sus archivos originales — pero las máquinas que habían consultado los servidores en ese lapso quedaban definitivamente comprometidas.
La cadena CROSSROAD → SHINYROAD
El archivo ZIP entregado a las víctimas contenía CROSSROAD, un dropper encargado de validar el entorno objetivo antes de desplegar el siguiente payload. CROSSROAD instala después SHINYROAD, una backdoor modular diseñada para el control remoto discreto. Su mecanismo de persistencia merece especial atención: SHINYROAD no se ejecuta directamente. Aprovecha el binario legítimo y firmado de Radmin 3.x — herramienta de administración remota de Famatech — para realizar DLL sideloading. Una biblioteca maliciosa colocada junto al binario de Radmin se carga en su arranque, descifra SHINYROAD en memoria mediante un intérprete Python embebido (PocketPy) y registra el implante dentro de un proceso del sistema firmado. Una tarea programada denominada RadminComponentRuntime se ejecuta cada tres horas para garantizar la resiliencia de la puerta trasera, incluso tras reinicios del sistema.
El robo de credenciales como valor añadido
Además de la puerta trasera, los atacantes desplegaron una técnica de robo de hashes NetNTLMv2 mediante WebDAV: una ventana invisible de un píxel por un píxel desencadenaba silenciosamente un intento de autenticación de Windows, capturando las credenciales sin ejecutar ningún código visible para las herramientas de detección de comportamiento. Esos hashes pueden emplearse posteriormente en ataques de tipo pass-the-hash o relay, abriendo acceso lateral en la red interna sin disparar alertas en los equipos comprometidos.
Se han confirmado organizaciones comprometidas en once países — Australia, Brasil, India, Pakistán, Portugal, Singapur, Sudáfrica, España, Suiza, Turquía y Estados Unidos — en los sectores de IT, telecomunicaciones y educación superior.
Lo que los equipos de IT deben hacer ahora
AOMEI ha asegurado sus servidores, pero las máquinas infectadas entre abril y julio de 2026 siguen activas. Acciones prioritarias:
- Inventariar todas las instalaciones de AOMEI Backupper y AnyViewer en el parque tecnológico
- Buscar las tareas programadas
RadminComponentRuntimeoNitroRuntime - Verificar la presencia de archivos
upgrade-now.exeoupgrade-now.zipen los directorios de AOMEI - Bloquear las conexiones hacia
storage-data.comy las IPs asociadas (8.210.84.56, 47.239.60.117, 8.218.65.184) - Restringir el tráfico SMB y WebDAV saliente hacia direcciones IP externas no catalogadas
Este ataque ilustra un cambio de paradigma: la amenaza ya no proviene únicamente de un correo de phishing o de una vulnerabilidad sin parchear, sino del propio mecanismo de confianza. Extender los controles de integridad a los flujos de actualización de herramientas de terceros — especialmente las desplegadas de forma masiva y silenciosa en los puestos de trabajo — ha dejado de ser una opción para los equipos de seguridad.