# AOMEI Backupper: atualizações adulteradas durante minutos instalaram um backdoor, com vítimas em Portugal

> Em janelas de cinco a dez minutos, quem tinha o programa de cópias de segurança da AOMEI a correr podia receber, pelo canal oficial de atualizações, um acesso remoto para piratas. A Google encontrou vítimas em 11 países, Portugal incluído. A empresa diz que já protegeu os servidores, mas isso não limpa os PC atingidos.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/aomei-backupper-atualizacoes-adulteradas-durante-minutos-instalaram-um-backdoor
- Categoria: Segurança
- Autoria: Redação
- Publicado: 20 de outubro de 2026
- Etiquetas: AOMEI Backupper, Windows, Malware, Cadeia de fornecimento, Cópias de segurança

## Em resumo

- A Google e a Mandiant dizem que os servidores de atualização da AOMEI foram adulterados entre abril e julho de 2026, em janelas de cinco a dez minutos.
- Quem tinha o AOMEI Backupper a procurar atualizações nesses minutos descarregava uma ferramenta de acesso remoto e um backdoor.
- Há organizações afetadas em 11 países, entre eles Portugal, sobretudo em serviços de informática, telecomunicações e ensino superior.
- A AOMEI diz ter corrigido os servidores, mas os PC que receberam o pacote continuam infetados até serem limpos.
- Um sinal a procurar no Windows é uma tarefa agendada chamada RadminComponentRuntime.

O AOMEI Backupper, um programa para Windows que faz cópias de segurança e clona discos, serviu durante meses para espalhar um backdoor através do seu próprio sistema de atualizações. A investigação foi publicada a 15 de outubro pelo grupo de análise de ameaças da Google (GTIG) e pela Mandiant, e no dia seguinte pelo laboratório de ameaças da ManageEngine, que deu o primeiro alerta. Segundo a Google, há organizações afetadas em 11 países, Portugal incluído, nos setores de serviços informáticos, telecomunicações e ensino superior. Os investigadores avisam que a lista real deve ser maior.

## Cinco minutos chegavam

O truque esteve na duração. Entre abril e julho de 2026, o atacante, a que a Google chama UNC7017, alterou os ficheiros dos servidores de atualização da AOMEI durante janelas muito curtas e depois repôs os originais. A Google confirmou três: 28 de maio (dez minutos), 16 de julho (seis minutos) e 20 de julho (cinco minutos). Só os computadores que procuraram uma atualização nesses minutos receberam o pacote malicioso, o que torna o ataque difícil de apanhar: quem fosse verificar o servidor logo a seguir encontrava ficheiros limpos.

Não foi preciso explorar nenhuma falha nem que alguém clicasse em nada. Segundo a ManageEngine, o programa não confirma criptograficamente a origem dos ficheiros de configuração que descarrega, e o código que serve para validar o pacote vem dentro do mesmo ficheiro que indica onde o ir buscar. Bastava ter o Backupper instalado e a correr. A ManageEngine viu o ataque na versão 8.3.0 e em versões posteriores, e a AnyViewer, a aplicação de ambiente de trabalho remoto da mesma empresa, usa o mesmo sistema de atualizações.

## O que ficava no PC

O pacote instalava o Radmin, um programa legítimo de administração remota, e usava-o para carregar um backdoor a que a Google chama SHINYROAD, que dá ao atacante uma linha de comandos remota e lhe permite correr código novo. Na janela de 20 de julho houve ainda uma janela invisível, com um pixel, que podia levar o Windows a enviar ao atacante dados de autenticação do utilizador sem que fosse preciso correr qualquer programa.

A Mandiant avisou a AOMEI a 17 de julho e a empresa respondeu, a 29 de julho, que tinha tomado medidas para proteger os servidores. A ManageEngine diz que não conseguiu confirmar por si que o problema está contido. E o registo de versões do Backupper, cuja edição mais recente é a 8.5.0, de 9 de outubro, não menciona alterações na forma como as atualizações são verificadas, segundo o The Hacker News.

## Se usas o AOMEI Backupper

A correção nos servidores não limpa um computador que já recebeu o pacote. Os investigadores pedem que se procurem sinais em todo o período de abril a julho. No Windows, abre o Agendador de Tarefas e confirma se existe uma tarefa chamada RadminComponentRuntime, que a ManageEngine identifica como o mecanismo que mantém o backdoor ativo. Se a encontrares num PC onde não instalaste o Radmin, trata a máquina como comprometida: desliga-a da rede, muda as palavras-passe a partir de outro aparelho e pede ajuda técnica para a reinstalar. Nas empresas, a Google e a ManageEngine publicaram regras de deteção e a lista de domínios e endereços usados pelo atacante.