Los servidores de AOMEI Backupper fueron secuestrados durante varios minutos para instalar una puerta trasera
Un grupo de atacantes llevó a cabo un ataque sigiloso a la cadena de suministro mediante la modificación temporal de archivos de configuración en los servidores de AOMEI Backupper. Los intrusos alteraron estos archivos durante lapsos breves de cinco a diez minutos antes de restaurar los originales, afectando las funciones de actualización y notificaciones emergentes de la versión 8.3.0 y posteriores del software. Las investigaciones confirmaron ventanas específicas de manipulación en las que cualquier copia del programa que realizara una verificación descargaba un paquete malicioso desde ubicaciones controladas por los atacantes en lugar del contenido legítimo.
El mecanismo malicioso operaba modificando archivos para engañar al software mediante sumas de verificación y la apertura de páginas en ventanas invisibles que ejecutaban un instalador. Este componente descargaba herramientas de administración remota junto con una puerta trasera, establecía tareas programadas y se eliminaba a sí mismo, aunque se detenía si detectaba ciertos productos de seguridad o si el equipo estaba ubicado en China. Adicionalmente, durante uno de los periodos de ataque, se forzó a las máquinas a autenticarse en un servidor externo, lo que provocó la filtración de hashes de contraseñas de usuarios.
La campaña afectó de manera oportunista a organizaciones del sector educativo, de tecnologías de la información y de telecomunicaciones en múltiples países. Las investigaciones sobre el incidente involucraron a varios equipos de seguridad, y la compañía proveedora indicó que se implementaron acciones correctivas bajo la supervisión de su director de tecnología, mientras que los investigadores advirtieron que otra aplicación del mismo proveedor también resultó afectada.