Une attaque calibrée pour l'invisibilité
AOMEI Backupper n'est pas un outil confidentiel : plus de cent millions d'utilisateurs lui font confiance pour protéger leurs données. C'est précisément cette masse et cette confiance qu'UNC7017 a exploitées entre avril et juillet 2026. Le groupe a modifié les fichiers de configuration des serveurs de mise à jour d'AOMEI pendant des fenêtres de seulement cinq à dix minutes — trois occurrences confirmées par le Google Threat Intelligence Group (GTIG) : dix minutes le 28 mai, six minutes le 16 juillet, cinq minutes le 20 juillet. Assez court pour déjouer les analyses en temps réel, assez long pour infecter les postes qui vérifiaient leurs mises à jour au mauvais moment.
L'éphémère comme technique d'évasion
La véritable innovation tactique d'UNC7017 réside dans cette brièveté calculée. Les outils de sécurité traditionnels s'appuient sur des observations ponctuelles : un fichier propre à 9h01, encore propre à 9h12, ne déclenche aucune alerte — même s'il a servi à compromettre des milliers de postes entre les deux. Les attaquants ont manipulé deux fichiers de configuration sur l'infrastructure d'AOMEI : le premier redirigeait les téléchargements de mise à jour vers une archive ZIP malveillante hébergée sur des serveurs sous leur contrôle ; le second instruisait l'application pour qu'elle exécute le contenu téléchargé. Une fois la fenêtre de falsification fermée, les serveurs d'AOMEI retrouvaient leurs fichiers d'origine — mais les machines qui avaient interrogé les serveurs entre-temps restaient, elles, définitivement compromises.
La chaîne CROSSROAD → SHINYROAD
L'archive ZIP livrée aux victimes contenait CROSSROAD, un dropper chargé de valider l'environnement cible avant de déployer le payload suivant. CROSSROAD installe ensuite SHINYROAD, une backdoor modulaire conçue pour le contrôle à distance discret. Son mécanisme de persistance mérite attention : SHINYROAD ne s'exécute pas directement. Il exploite le binaire légitime et signé de Radmin 3.x — un outil d'administration à distance de Famatech — pour réaliser un DLL sideloading. Une bibliothèque malveillante placée à côté du binaire Radmin est chargée à son lancement, déchiffre SHINYROAD en mémoire via un interpréteur Python embarqué (PocketPy), et enregistre l'implant dans un processus système signé. Une tâche planifiée nommée RadminComponentRuntime s'exécute toutes les trois heures pour garantir la résilience de la backdoor, y compris après redémarrage.
Le vol de credentials en bonus
En complément du backdoor, les attaquants ont déployé une technique de vol de hashes NetNTLMv2 via WebDAV : une fenêtre invisible d'un pixel sur un pixel déclenchait silencieusement une tentative d'authentification Windows, capturant les credentials sans exécuter le moindre code visible aux outils de détection comportementale. Ces hashes peuvent ensuite être utilisés pour des attaques de type pass-the-hash ou relay, ouvrant un accès latéral sur le réseau interne sans déclencher d'alerte sur les postes compromis.
Des organisations dans onze pays sont confirmées compromises — Australie, Brésil, Inde, Pakistan, Portugal, Singapour, Afrique du Sud, Espagne, Suisse, Turquie et États-Unis — dans les secteurs de l'IT, des télécommunications et de l'enseignement supérieur.
Ce que les équipes IT doivent faire maintenant
AOMEI a sécurisé ses serveurs, mais les machines infectées entre avril et juillet 2026 restent actives. Actions prioritaires :
- Inventorier toutes les installations d'AOMEI Backupper et AnyViewer dans le parc
- Rechercher les tâches planifiées
RadminComponentRuntimeouNitroRuntime - Vérifier la présence de fichiers
upgrade-now.exeouupgrade-now.zipdans les répertoires AOMEI - Bloquer les connexions vers
storage-data.comet les IP associées (8.210.84.56, 47.239.60.117, 8.218.65.184) - Restreindre le trafic SMB et WebDAV sortant vers des adresses IP externes non répertoriées
Cette attaque illustre un changement de paradigme : la menace ne vient plus seulement d'un e-mail de phishing ou d'une vulnérabilité non corrigée, mais du mécanisme de confiance lui-même. Étendre les contrôles d'intégrité aux flux de mise à jour des outils tiers — en particulier ceux déployés massivement et silencieusement sur les postes de travail — n'est plus une option pour les équipes sécurité.