AOMEI Backupper: atualizações adulteradas durante minutos instalaram um backdoor, com vítimas em Portugal

O AOMEI Backupper, um programa para Windows que faz cópias de segurança e clona discos, serviu durante meses para espalhar um backdoor através do seu próprio sistema de atualizações. A investigação foi publicada a 15 de outubro pelo grupo de análise de ameaças da Google (GTIG) e pela Mandiant, e no dia seguinte pelo laboratório de ameaças da ManageEngine, que deu o primeiro alerta. Segundo a Google, há organizações afetadas em 11 países, Portugal incluído, nos setores de serviços informáticos, telecomunicações e ensino superior. Os investigadores avisam que a lista real deve ser maior.

Cinco minutos chegavam

O truque esteve na duração. Entre abril e julho de 2026, o atacante, a que a Google chama UNC7017, alterou os ficheiros dos servidores de atualização da AOMEI durante janelas muito curtas e depois repôs os originais. A Google confirmou três: 28 de maio (dez minutos), 16 de julho (seis minutos) e 20 de julho (cinco minutos). Só os computadores que procuraram uma atualização nesses minutos receberam o pacote malicioso, o que torna o ataque difícil de apanhar: quem fosse verificar o servidor logo a seguir encontrava ficheiros limpos.

Não foi preciso explorar nenhuma falha nem que alguém clicasse em nada. Segundo a ManageEngine, o programa não confirma criptograficamente a origem dos ficheiros de configuração que descarrega, e o código que serve para validar o pacote vem dentro do mesmo ficheiro que indica onde o ir buscar. Bastava ter o Backupper instalado e a correr. A ManageEngine viu o ataque na versão 8.3.0 e em versões posteriores, e a AnyViewer, a aplicação de ambiente de trabalho remoto da mesma empresa, usa o mesmo sistema de atualizações.

O que ficava no PC

O pacote instalava o Radmin, um programa legítimo de administração remota, e usava-o para carregar um backdoor a que a Google chama SHINYROAD, que dá ao atacante uma linha de comandos remota e lhe permite correr código novo. Na janela de 20 de julho houve ainda uma janela invisível, com um pixel, que podia levar o Windows a enviar ao atacante dados de autenticação do utilizador sem que fosse preciso correr qualquer programa.

A Mandiant avisou a AOMEI a 17 de julho e a empresa respondeu, a 29 de julho, que tinha tomado medidas para proteger os servidores. A ManageEngine diz que não conseguiu confirmar por si que o problema está contido. E o registo de versões do Backupper, cuja edição mais recente é a 8.5.0, de 9 de outubro, não menciona alterações na forma como as atualizações são verificadas, segundo o The Hacker News.

Se usas o AOMEI Backupper

A correção nos servidores não limpa um computador que já recebeu o pacote. Os investigadores pedem que se procurem sinais em todo o período de abril a julho. No Windows, abre o Agendador de Tarefas e confirma se existe uma tarefa chamada RadminComponentRuntime, que a ManageEngine identifica como o mecanismo que mantém o backdoor ativo. Se a encontrares num PC onde não instalaste o Radmin, trata a máquina como comprometida: desliga-a da rede, muda as palavras-passe a partir de outro aparelho e pede ajuda técnica para a reinstalar. Nas empresas, a Google e a ManageEngine publicaram regras de deteção e a lista de domínios e endereços usados pelo atacante.

AOMEI BackupperWindowsMalwareCadeia de fornecimentoCópias de segurança