AOMEI Backupper: Angreifer missbrauchten Update-Infrastruktur zur Malware-Verteilung
Angreifer haben Teile der Update- und Benachrichtigungsinfrastruktur von AOMEI missbraucht, um Schadsoftware über einen eigentlich vertrauenswürdigen Softwarekanal auszuliefern. Die von Google Threat Intelligence und ManageEngine untersuchte Kampagne fand nach bislang veröffentlichten Informationen zwischen April und Juli 2026 statt. Bekannt wurde die Analyse am 19. Oktober.
Manipulierte Download-Hinweise statt klassischer Phishing-Mail
AOMEI Backupper dient zum Sichern und Wiederherstellen von Windows-PCs. Der Angriff setzte deshalb an einer besonders empfindlichen Stelle an: Anweisungen zu Downloads und Versionsinformationen konnten offenbar zeitweise so verändert werden, dass Software-Komponenten eine schädliche ZIP-Datei statt der erwarteten Datei bezogen. Die Angreifer passten den veröffentlichten Berichten zufolge auch Versions- und Prüfsummenangaben an. Anschließend stellten sie die ursprünglichen Werte wieder her, was die Entdeckung erschweren konnte.
Eine mitgelieferte MD5-Prüfsumme ist keine ausreichende Absicherung, wenn dieselbe kompromittierte Infrastruktur gleichzeitig die Datei und die angeblich richtige Prüfsumme vorgibt. Entscheidend ist vielmehr eine unabhängige Authentisierung des Updates, beispielsweise durch überprüfte Signaturen und getrennte Vertrauenskette.
Was über die Schadsoftware bekannt ist
Die Ermittler ordnen die Kampagne einem Akteur mit der Bezeichnung UNC7017 zu. Berichtet wird über einen Downloader namens CROSSROAD und eine Hintertür namens SHINYROAD. Solche Komponenten ermöglichen weitere Aktivitäten auf infizierten Systemen. Daraus folgt aber nicht, dass jede installierte AOMEI-Version oder jede einzelne Update-Meldung kompromittiert gewesen wäre.
Die Zeitfenster lagen zwischen April und Juli. Für Anwender ist deshalb wichtig, zwischen einer historischen Kompromittierung der Infrastruktur und einer aktuell nachgewiesenen Infektion des eigenen Rechners zu unterscheiden. Für die ebenfalls mit Teilen der Infrastruktur verknüpfte Fernwartungssoftware AnyViewer werden in den zitierten Berichten nicht automatisch separat bestätigte Opferzahlen genannt.
Was Nutzer jetzt kontrollieren können
- Systemschutz aktualisieren: Microsoft Defender oder das eingesetzte Antivirenprodukt auf aktuelle Erkennungsinformationen bringen und einen vollständigen Scan starten.
- Installationshistorie prüfen: Unerwartete Programme, geplante Aufgaben, Autostart-Einträge und Downloads aus dem fraglichen Zeitraum untersuchen. Ein Treffer sollte nachvollziehbar dokumentiert werden.
- Backup-Dateien sicher aufbewahren: Vor einer Bereinigung prüfen, ob saubere, vom potenziell infizierten PC getrennte Sicherungen vorhanden sind. Nicht unkontrolliert verdächtige Programme erneut ausführen.
- Bei konkretem Verdacht professionell reagieren: Besonders auf geschäftlich genutzten Rechnern Netzwerkzugriffe begrenzen und IT-Sicherheitsverantwortliche einschalten. Allein ein vorsorglicher Passwortwechsel beseitigt eine installierte Hintertür nicht.
Warum der Vorfall bedeutsam ist
Backup-Software genießt besonders viel Vertrauen und besitzt oft weitreichenden Zugriff auf Datenträger. Angriffe auf ihre Updatekanäle zeigen, warum regelmäßige Sicherheitsupdates zwar nötig sind, die Vertrauenswürdigkeit der Verteilung aber selbst zum Sicherheitsmerkmal gehört. Einen ergänzenden Überblick über getrennte Sicherungen und Wiederherstellungstests gibt der Ratgeber zu Backups für Unternehmen.
Quellen: BleepingComputer: Untersuchung mit GTIG und ManageEngine · Malwarebytes: Einordnung und Schutzmaßnahmen.
