AOMEI Backupper ciblé par une attaque supply chain furtive

Un accès furtif aux serveurs de mise à jour pendant cinq à dix minutes

Une campagne d'attaque supply chain particulièrement sophistiquée a été documentée par les équipes de Google Threat Intelligence Group (GTIG) et Mandiant le 20 octobre 2026. Le groupe baptisé UNC7017 a compromis les serveurs de mise à jour d'AOMEI Technology, l'éditeur du populaire logiciel de sauvegarde AOMEI Backupper, pour y déposer furtivement deux charges malveillantes : un dropper nommé CrossRoad et un backdoor persistant appelé ShinyRoad. L'ampleur potentielle est considérable, AOMEI Backupper étant installé sur des dizaines de millions de postes Windows dans le monde, principalement dans des environnements PME et des services informatiques d'entreprises.

La particularité de cette attaque réside dans sa discrétion extrême. Contrairement aux attaques supply chain classiques — comme SolarWinds en 2020 ou 3CX en 2023 — où la compromission dure plusieurs semaines ou plusieurs mois, UNC7017 n'a modifié les serveurs d'AOMEI que lors de courtes fenêtres de cinq à dix minutes, avant de restaurer immédiatement les fichiers d'origine. Trois fenêtres de tampering ont été directement confirmées par les chercheurs : le 28 mai, le 16 juillet et le 20 juillet 2026. Cette technique dite « short-burst » rend la détection extrêmement difficile, car les analyses statiques des serveurs réalisées en dehors de ces fenêtres ne révèlent aucune anomalie.

Le mécanisme d'infection exploite deux fichiers de configuration légitimes qu'AOMEI Backupper utilise pour ses mises à jour automatiques et ses notifications pop-up. Le premier, down_html.ini, indique au logiciel quel paquet télécharger et quelle somme de contrôle vérifier. Durant les fenêtres malveillantes, les attaquants ont pointé ce fichier vers des serveurs qu'ils contrôlaient, en fournissant une somme de contrôle correspondant exactement au paquet malveillant, ce qui permettait au paquet de passer la validation sans déclencher d'alerte. Le second fichier, Notifycfg.ini, contrôle les notifications pop-up du logiciel. Les attaquants l'ont configuré pour ouvrir une page dans une fenêtre invisible, page qui déclenchait à son tour l'exécution du dropper CrossRoad.

CrossRoad se comporte comme un dropper de premier niveau chargé de préparer le terrain. Il effectue des vérifications anti-sandbox et anti-analyse, puis teste si le système cible correspond au profil recherché par les attaquants : présence d'un domaine Active Directory, présence de logiciels métiers spécifiques, configuration réseau particulière. Le payload final — ShinyRoad — n'est livré que sur les systèmes qui passent tous ces contrôles. Cette approche de ciblage sélectif indique qu'UNC7017 ne cherchait pas à infecter massivement tous les utilisateurs d'AOMEI Backupper, mais à identifier et compromettre des cibles précises au sein de cette large base d'installation. Selon Mandiant, plusieurs dizaines de systèmes ont été identifiés comme ayant reçu le payload final, principalement dans des secteurs industriels et des administrations.

ShinyRoad est un backdoor Windows sophistiqué qui s'installe aux côtés de Radmin Server, un outil d'administration à distance légitime et largement utilisé dans les environnements d'entreprise. Cette technique dite de « living-off-the-land » permet aux attaquants de maintenir un accès pérenne au système compromis tout en se fondant dans le trafic réseau normal d'une organisation qui utilise déjà des outils de prise en main à distance. ShinyRoad est configuré via une tâche planifiée Windows qui le relance toutes les trois heures, assurant sa persistance même après un redémarrage complet de la machine. Une fois l'installation réussie, le dropper CrossRoad se supprime lui-même pour effacer ses traces et compliquer l'analyse forensique.

AOMEI Technology a confirmé la compromission dans un communiqué publié le 18 octobre 2026, précisant avoir identifié l'incident après avoir été alerté par des chercheurs en sécurité externes. L'éditeur affirme avoir renforcé la sécurité de son infrastructure de mise à jour, mis en place une surveillance continue des fichiers de configuration critiques et révoqué les accès compromis. AOMEI indique également travailler avec les autorités compétentes pour identifier les responsables.

L'attribution à UNC7017 reste partielle à ce stade. Google GTIG et Mandiant n'ont pas encore publiquement associé ce groupe à un État-nation spécifique, le classant sous l'étiquette UNC (Uncategorized) qui désigne un cluster d'activité en cours d'investigation. Cependant, le niveau de sophistication technique — notamment la capacité à accéder temporairement aux serveurs d'un éditeur de logiciels sans déclencher d'alarmes internes — et le choix très sélectif des cibles finales suggèrent un acteur disposant de moyens importants, probablement avec des objectifs d'espionnage ou de prépositionnement stratégique dans des réseaux d'entreprises clés.

Des indicateurs de compromission (IoC) complets ont été publiés par SecurityWeek, Help Net Security et SOC Prime, incluant les hachages cryptographiques des composants malveillants (CrossRoad et ShinyRoad), les domaines de commande et contrôle utilisés par le backdoor, ainsi que le nom exact de la tâche planifiée Windows créée lors de l'infection. Les équipes de sécurité et les administrateurs système sont encouragés à rechercher en priorité la présence de Radmin Server sur des postes où cet outil n'a pas été déployé intentionnellement, ainsi que toute tâche planifiée dont le nom correspond aux IoC publiés.

Un modèle d'attaque qui redéfinit les défenses supply chain classiques

L'attaque AOMEI Backupper illustre l'évolution des techniques d'attaque supply chain vers des approches de plus en plus éphémères et difficiles à détecter. Les défenses traditionnelles contre ce type d'attaque reposent sur la surveillance continue des serveurs de distribution de logiciels, la vérification cryptographique des binaires par signature de code, et la détection des modifications de fichiers de configuration. Or, la technique « short-burst » d'UNC7017 contourne précisément ces défenses : les fenêtres de compromission sont trop courtes pour être détectées par des scans périodiques, et les fichiers de configuration modifiés sont restaurés avant que la plupart des systèmes de monitoring ne les analysent.

Le cas AOMEI s'inscrit dans une tendance lourde : les attaquants sophistiqués délaissent progressivement les compromissions directes de logiciels open source — comme la backdoor XZ Utils découverte en avril 2024 — au profit d'attaques ciblant des éditeurs de logiciels propriétaires dont la chaîne de mise à jour est généralement moins scrutée par la communauté de la sécurité. Les outils de sauvegarde et d'administration représentent une cible de choix : ils sont présents sur des systèmes critiques avec des droits élevés, ils communiquent régulièrement avec des serveurs extérieurs dans le cadre de leur fonctionnement normal, et leur présence ne suscite généralement pas de suspicion. La campagne GhostAction sur GitHub Actions documentée la semaine précédente et cette attaque AOMEI illustrent toutes deux la même réalité : la supply chain logicielle reste le maillon faible de la sécurité des entreprises.

Pour les équipes IT et les responsables de la sécurité, cet incident soulève une question fondamentale : dans quelle mesure les mécanismes de mise à jour automatique des logiciels d'infrastructure — outils de sauvegarde, agents d'administration, antivirus, solutions RMM — sont-ils réellement surveillés ? Dans beaucoup d'organisations, ces outils fonctionnent avec les droits les plus élevés sur les systèmes, ce qui en fait des vecteurs d'infection idéaux. L'incident rappelle également la nécessité d'une politique rigoureuse de liste blanche des logiciels autorisés en entreprise et de vérification des empreintes cryptographiques avant toute installation ou mise à jour.

La combinaison de Radmin Server (outil légitime) avec ShinyRoad (backdoor personnalisé) illustre parfaitement la technique d'utilisation d'outils légitimes à des fins malveillantes, que l'ANSSI et le CERT-FR documentent régulièrement dans leurs rapports sur les campagnes d'intrusion visant les entreprises françaises. Les entreprises doivent surveiller non seulement les malwares, mais également l'usage anormal de logiciels légitimes de prise en main à distance qui n'auraient pas été déployés dans le cadre d'un processus IT officiel et documenté.

Ce qu'il faut retenir

• UNC7017 a compromis les serveurs d'AOMEI Backupper par fenêtres de 5 à 10 minutes entre mai et juillet 2026 pour distribuer le backdoor ShinyRoad via le dropper CrossRoad.
• Les systèmes infectés exécutent ShinyRoad toutes les 3 heures via une tâche planifiée Windows, aux côtés de Radmin Server déployé pour maintenir un accès persistant indétectable.
• Vérifier immédiatement la présence de Radmin Server non autorisé et des IoC publiés par Mandiant et SecurityWeek sur tous les systèmes utilisant AOMEI Backupper.