Tussen april en juli zijn er meerdere momenten geweest waarop gecompromitteerde AOMEI Backupper updates op Windows-systemen terechtkwamen. Het opvallende: de aanvallers hielden de manipulatie niet lang vol. In plaats daarvan werkten ze met zeer korte “tampering windows”, waardoor de kans op detectie kleiner wordt.
Onderzoekers van onder meer Google Cloud (GTIG) en Mandiant, met ondersteuning van ManageEngine Threat Analysis Lab (METAL), beschrijven hoe de campagne werkte, welke malware werd geleverd en waarom juist het update- en distributiemechanisme een belangrijk doelwit was.
Wat is AOMEI Backupper en waarom is dit incident relevant?
AOMEI Backupper is Windows-backup-, sync- en disk-cloningsoftware. Het product is beschikbaar in gratis en betaalde edities voor thuisgebruikers, bedrijven en ook Windows Server-omgevingen. Volgens AOMEI worden de tools door meer dan 186 miljoen mensen wereldwijd gebruikt.
Dat brede gebruik maakt supply chain-incidenten extra riskant. Als distributiekanalen worden misbruikt, kunnen duizenden of miljoenen systemen op dezelfde manier worden beïnvloed—zelf zonder dat ze gerichte doelwitten zijn.
Korte manipulatie in “tampering windows”
In deze campagne hanteerden aanvallers een aanpak die afwijkt van typische supply chain-aanvallen. Google Cloud en Mandiant rapporteren dat elke manipulatiemoment maar vijf tot tien minuten actief bleef. Daarna schakelden de aanvallers terug naar de echte, legitieme versies.
Daardoor werd malware vooral geleverd aan systemen die juist tijdens die minuten de aangepaste pakketten ophaalden. Dat wijst eerder op een opportunistische campagne dan op een strak doelgerichte operatie per organisatie.
Welke organisaties kwamen in beeld?
Hoewel de manipulatie niet specifiek op één partij leek te mikken, identificeerden onderzoekers wel gecompromitteerde entiteiten in onder meer Australië, Brazilië, India, Pakistan, Portugal, Singapore, Zuid-Afrika, Spanje, Zwitserland, Türkiye en de Verenigde Staten, met name in sectoren als hoger onderwijs, IT-dienstverlening en telecommunicatie.
Daarnaast constateerden Google Cloud-onderzoekers dat er in 2026 meerdere tampering windows zijn vastgesteld. Omdat zulke windows zo kort waren, denken ze dat er mogelijk nog meer manipulaties zijn geweest die buiten hun zicht vielen.
Hoe de aanvallers de levering mogelijk maakten
Volgens de onderzoekers wijzigde de bedreiger, gevolgd als UNC7017, tijdens de korte windows aan de kant van de update-infrastructuur specifieke instellingen. Het doel: systemen laten uitkomen op een kwaadaardig ZIP-archief en afdwingen dat de malware automatisch wordt uitgevoerd.
Concreet beschrijven de rapporten twee belangrijke sporen:
- De aanvaller tamperde met het update settings-bestand van de server om redirecting naar een kwaadwillige ZIP te realiseren.
- Daarnaast werd de automatische notification service aangepast om doelcomputers de malware automatisch te laten uitvoeren.
Misbruik van promotie- en contentkanalen
METAL laat zien dat er ook misbruik werd gemaakt van het promotionele contentkanaal van AOMEI Backupper. Dit kanaal draait backgroundservices die de servers van AOMEI aftasten voor content. Daarbij zijn er twee configuratiepaden die content naar een map kunnen schrijven en het vervolgens kunnen aanroepen.
Volgens METAL komen die twee paden samen op dezelfde locatie: één pad bepaalt wat in een HTML-omgeving “landt”, en het andere pad beïnvloedt wat daar vervolgens kan worden uitgevoerd. Belangrijk detail: de configuratiebestanden bevatten geen cryptografische authenticatie aan de clientzijde.
Ook de controle op integriteit lijkt minder robuust dan je zou willen. De checksum die gebruikt wordt om het archief te verifiëren, is namelijk gedefinieerd in hetzelfde configuratiebestand dat zelf ook niet cryptografisch wordt gevalideerd.
Wat werd er precies geleverd: CrossRoad, ShinyRoad en meer
In meerdere fasen werden verschillende componenten aangeleverd. In de eerste plaats zagen onderzoekers onder andere:
- CrossRoad als downloader/dropper. Deze module deed systeemvalidatie, cleanup en payload staging. Ook richtte ze persistence in voor de latere backdoor en verwijderde zichzelf van de schijf.
- Een aangepaste versie van Radmin Server, met een kwaadwillige DLL die via Radmin Server werd geladen.
- De ShinyRoad backdoor als modulaire eindcomponent (framework).
Verder beschrijven de rapporten dat UNC7017 ook een extra exploitation-achtige route toevoegde. Daarbij werd een legitieme banner vervangen door een 1×1 pixelvenster met maximale execution priority. Dat forceerde de AOMEI-client om via WebDAV een remote resource op te halen, waardoor de aanvallers NetNTLMv2-authenticatiehashes konden ontvangen.
In juli werd na succesvolle ShinyRoad-deploy ook AdaptAgent neergezet, onderdeel van het Adaptix C2 post-exploitation ecosysteem.
Waarom deze aanvalsmethode opvalt
De onderzoekers zien dit incident als een stap in de evolutie van supply chain-aanvallen. Historisch richtten veel campagnes zich op het injecteren van backdoors in broncode of op het saboteren van build- en ontwikkelprocessen.
In dit geval draait het om ephemerale manipulatie van configuratie—dus tijdelijke aanpassingen die snel weer worden teruggedraaid. Dat verlaagt de “attack footprint” en maakt het lastiger om afwijkingen lang genoeg te zien om direct te blokkeren.
Wat betekent dit voor jou? Praktische actiepunten
Als je AOMEI Backupper gebruikt (thuis, in een bedrijf of in een serveromgeving), is dit moment geschikt om je aanpak te aanscherpen. De details uit de rapporten geven je genoeg richting voor een snelle en realistische check:
1) Controleer je versie en updatepad
Ga na welke AOMEI Backupper-versie je draait en of je recente updates uit relevante kanalen hebt opgehaald. Omdat de manipulatie vooral tijdens korte windows werkte, is de periode waarin je updates binnenhaalde extra relevant.
2) Let op signalen van verdachte communicatie
De eindpayloads en staging-componenten zijn bedoeld om persistentie te regelen, DLL’s te laden en C2-communicatie mogelijk te maken. Kijk daarom breder dan alleen “is er een bestand toegevoegd?”—inspecteer ook netwerkpatronen tijdens en na update-momenten.
3) Onderzoek of NTLMv2-achtige authenticatie is uitgewisseld
Omdat er een vector werd beschreven waarbij via WebDAV NetNTLMv2-hashes werden opgevraagd, kan het loonen om in logs (bijvoorbeeld authenticatie- en netwerkloggegevens) te zoeken naar afwijkende WebDAV-activiteiten of onverwachte authenticatiepogingen.
4) Borg account- en toegangsveiligheid
Ook als je niet op de hoogte was van het incident, helpt het om accounts en rechten te beperken. Denk aan het principe van least privilege en aan het tijdig roteren van credentials wanneer je verdachte authenticatie ziet. Dit soort maatregelen maakt het lastiger om impact door te geven.
Voor aanvullende context over “credentials en incidentreactie” kun je ook kijken naar het artikel over het resetten van toegang na een cloud-incident: ConnectWise reset credentials na cloud-incident: wat nu?
Reactie van de vendor: melding en correcties
Volgens Google Cloud heeft de security community AOMEI Technology in begin juni voor het eerst op de mogelijke manipulatie gewezen. De vendor stelde toen dat de content waarschijnlijk was onderschept en aangepast in transit—dus niet per se op de server zelf.
Later, in mid-juli, werd AOMEI opnieuw geïnformeerd. Eind juli gaf AOMEI aan correctieve acties te hebben ondernomen.
Extra risico: supply chain-aanvallen zijn niet per se “massaal” zichtbaar
Een belangrijke les uit dit incident is dat je niet alleen moet kijken naar brede, langdurige compromis-scenarios. Korte windows kunnen systemen tijdelijk beïnvloeden, terwijl de infrastructuur daarna weer “normaal” lijkt. Daardoor kan een traditionele detectie (die afwijkingen pas na uren of dagen oppikt) tekortschieten.
Wie supply chain security serieus neemt, richt daarom ook processen in om snel te vergelijken wat “normaal” is aan updates, contentkanalen en serverconfiguraties.
Als je wilt verdiepen in governance en volwassenheid rond AI-software security (als conceptuele aanvulling op governance rond softwareketens), kan dit aansluiten op AI-software security: focus op volwassenheid.
Conclusie
De gecompromitteerde AOMEI Backupper updates laten zien hoe een supply chain-campagne kan profiteren van korte, gecontroleerde manipulatiemomenten. Door serverinstellingen te wijzigen en doelcomputers automatisch malware te laten ophalen en uitvoeren, konden aanvallers CrossRoad en later ShinyRoad inzetten—plus aanvullende technieken zoals WebDAV-gedreven NetNTLMv2-hashverzameling.
Voor organisaties betekent dit vooral: snel verifiëren wat er bij jou is binnengekomen, verdachte gedrag in logs en netwerkverkeer bekijken, en je toegangs- en reactieproces aanscherpen. Zo verklein je de kans dat een “paar minuten” toch langdurige schade veroorzaakt.
Bron: https://www.securityweek.com/aomei-backupper-compromised-in-short-burst-supply-chain-campaign/
