Hackers comprometem servidores da AOMEI para distribuir malware através de atualizações

Servidores da AOMEI foram comprometidos para distribuir malware em atualizações. Conhece os riscos, janelas de exposição e o impacto técnico.

Servidores de atualização da AOMEI usados para propagar malware

Investigadores de segurança informaram que os servidores de atualização e notificação da aplicação AOMEI Backupper foram temporariamente comprometidos entre abril e julho de 2026. Os atacantes manipularam ficheiros de configuração para distribuir um novo descarregador de malware chamado CROSSROAD e uma porta traseira denominada SHINYROAD, afetando sistemas Windows a nível global.

A campanha foi descoberta por analistas da ManageEngine's Threat Analysis Lab (METAL), em colaboração com o Google Threat Intelligence Group (GTIG) e a Mandiant. De acordo com as investigações, a atividade foi associada a um grupo identificado como UNC7017, que explorou brechas na infraestrutura do fornecedor de software para injetar código malicioso durante os processos normais de verificação de atualizações.

Como funcionava o ataque e que janelas de exposição foram detetadas

Os atacantes modificaram discretamente dois ficheiros de configuração alojados nos servidores da AOMEI: o down_html.ini, que indica ao software onde obter pacotes de atualização, e o Notifycfg.ini, que controla notificações e execuções no computador. Desta forma, a aplicação era redirecionada para descarregar um arquivo ZIP malicioso e executá-lo sem exigir interação do utilizador.

Para garantir que o software aceitava os ficheiros alterados, os atacantes ajustaram inclusivamente as somas de verificação (checksums) esperadas pelo sistema de verificação de ficheiros. As investigações permitiram identificar três janelas específicas em que os servidores serviram conteúdo malicioso:

• 28 de maio: janela de exposição de 10 minutos (05:40 – 05:50 UTC)
• 16 de julho: janela de exposição de 6 minutos (08:33 – 08:39 UTC)
• 20 de julho: janela de exposição de 5 minutos (10:35 – 10:40 UTC)

Após estes breves períodos, os ficheiros originais eram restaurados nos servidores para ocultar a intrusão.

Consequências práticas e o impacto em Portugal

No que respeita ao impacto para os utilizadores e empresas em Portugal, a BleepingComputer reporta que foram identificadas organizações afetadas em diversos países como Estados Unidos, Austrália, Índia, Singapura, Espanha e Suíça, abrangendo setores como tecnologias de informação, telecomunicações e ensino superior. No entanto, a Google alertou que a natureza dos ataques foi estritamente oportunista, podendo ter atingido qualquer utilizador ou infraestrutura que tenha verificado atualizações precisamente durante as curtas janelas temporais em que os ficheiros comprometidos estiveram ativos online. Até ao momento, não existem dados oficiais ou confirmações específicas sobre empresas ou utilizadores residenciais afetados diretamente em território português.

A AOMEI indicou que está a tratar o caso como prioridade máxima, com o diretor de tecnologia (CTO) a liderar uma investigação interna para atualizar servidores, corrigir vulnerabilidades e reforçar os registos de auditoria.

Fontes

• https://www.bleepingcomputer.com/news/security/hackers-hijack-aomei-update-servers-to-secretly-spread-malware/