Minacce · 5 ore fa
Tra aprile e luglio 2026, UNC7017 ha usato l’infrastruttura di aggiornamento e notifiche di AOMEI Backupper per distribuire malware. METAL, Google Threat Intelligence Group e Mandiant attribuiscono al gruppo la campagna, che ha diffuso CROSSROAD e SHINYROAD.
Gli attaccanti hanno modificato per brevi periodi le istruzioni usate dal software per recuperare aggiornamenti e mostrare notifiche, poi hanno ripristinato i file originali. Così Backupper scaricava contenuti malevoli attraverso funzioni legittime; le verifiche successive potevano mostrare configurazioni pulite e non riprodurre l’attività.
Google avverte che l’esposizione può riguardare anche organizzazioni non identificate, se hanno controllato gli aggiornamenti durante le finestre di distribuzione. Lo stesso presupposto di fiducia vale per altri software che ricevono promozioni o notifiche da server del vendor: una funzione legittima non garantisce che il contenuto sia rimasto affidabile.
1 fonte che coprono questa storia
Hackers hijack AOMEI update servers to secretly spread malware
Hackers reportedly compromised AOMEI's servers to distribute malware through a built-in promotional feature in its backup software, briefly tampering with configuration files before restoring them to their original state to hide the attacks.a
Part of the PlainSec briefing for 2026-10-19