UNC7017 compromet AOMEI Backupper — chaîne d'approvisionnement silencieuse dans 11 pays

Les faits

Le 15 octobre 2026, Google Threat Intelligence Group (GTIG) a publié un rapport détaillant une campagne de compromission de la chaîne d'approvisionnement logicielle (supply chain attack) ciblant les serveurs de mise à jour d'AOMEI Technology. AOMEI est un éditeur logiciel taiwanais dont les produits phares — AOMEI Backupper (sauvegarde, clonage de disques, reprise après sinistre pour Windows) et AnyViewer (accès à distance et support technique) — sont largement déployés dans les PME, les équipes informatiques et les contextes MSSP en Europe, en Asie et en Amérique du Nord. L'entreprise revendique plusieurs dizaines de millions d'utilisateurs enregistrés.

L'attaque, attribuée par Google au groupe UNC7017, présente un profil particulièrement insidieux : entre avril et juillet 2026, l'acteur malveillant a modifié deux fichiers de configuration hébergés sur l'infrastructure de mise à jour d'AOMEI pendant des fenêtres de 5 à 10 minutes seulement. Trois fenêtres d'attaque ont été confirmées : le 28 mai 2026, le 16 juillet 2026 et le 20 juillet 2026. En dehors de ces plages temporelles très courtes, les serveurs de mise à jour délivraient du contenu légitime. Les utilisateurs dont le logiciel a vérifié les mises à jour durant ces fenêtres précises ont reçu des instructions malveillantes au lieu des métadonnées légitimes.

Cette technique dite de "short-burst supply chain" est particulièrement difficile à détecter : les outils de surveillance de l'intégrité des mises à jour qui n'échantillonnent pas en continu manquent presque inévitablement ces événements. Les journaux d'accès AOMEI chez les utilisateurs finaux n'indiquent généralement qu'une connexion de mise à jour réussie, sans distinction entre contenu légitime et contenu malveillant injecté.

Les charges utiles déployées lors des fenêtres d'attaque comprennent plusieurs composants distincts. CROSSROAD est un downloader dont le rôle est de récupérer et exécuter des charges utiles de second niveau sur le système compromis. SHINYROAD est un backdoor persistant permettant à UNC7017 de maintenir un accès à long terme sur les systèmes infectés, y compris après redémarrage. Une version modifiée de Radmin Server — un outil d'administration à distance légitime — a également été déployée pour fournir un accès persistant camouflé dans les communications réseau légitimes. Enfin, le framework Adaptix a été utilisé pour la communication de type Command and Control (C2), un framework open-source devenu populaire auprès de plusieurs acteurs APT depuis 2025.

UNC7017 est un groupe de menace suspecté d'être lié à des intérêts chinois, bien que Google n'ait pas établi de lien direct avec un groupe APT préalablement nommé. Le ciblage géographique — 11 pays touchés, avec une concentration notable dans les secteurs IT, MSP et industrie — est cohérent avec les objectifs d'espionnage attribués à des acteurs étatiques chinois, notamment dans les domaines de la propriété intellectuelle technologique et de l'accès à des réseaux d'entreprises occidentales via leurs prestataires de service.

Le choix d'AOMEI Backupper comme vecteur est stratégiquement pertinent : un outil de sauvegarde et de clonage de disques dispose par nature d'un accès privilégié à l'ensemble du système de fichiers et aux données sensibles. Un agent implanté dans ce contexte peut exfiltrer des sauvegardes complètes, accéder à des fichiers chiffrés (si les clés sont en mémoire) ou pivoter vers d'autres systèmes dans l'environnement. AnyViewer, l'outil d'accès à distance également compromis, offre quant à lui un accès graphique permanent aux postes infectés, sans nécessiter d'ouvrir de port supplémentaire.

La méthode rappelle les grandes attaques supply chain documentées depuis SolarWinds en 2020 : cibler des outils de gestion informatique largement déployés, utilisés par des équipes IT qui leur accordent une confiance implicite et des privilèges étendus. La différence notable ici est la durée d'injection ultra-courte (5-10 minutes), qui limite l'exposition mais rend la détection rétroactive beaucoup plus difficile. Les organisations concernées doivent reconstruire leur historique de mise à jour pour déterminer si elles ont téléchargé des mises à jour lors des trois fenêtres identifiées.

SecurityWeek et SC World ont confirmé que les investigations sont en cours dans plusieurs organisations, notamment dans les secteurs de l'IT managé et de la défense industrielle en Europe. AOMEI Technology a répondu en sécurisant ses serveurs de mise à jour, mais l'entreprise n'a pas publié de communiqué officiel détaillant l'étendue de la compromission au moment de la publication de ce rapport.

Impact et exposition

Tout utilisateur d'AOMEI Backupper ou d'AnyViewer ayant effectué une mise à jour automatique ou manuelle le 28 mai, le 16 juillet ou le 20 juillet 2026 est potentiellement compromis. L'exposition est particulièrement critique pour les MSP et MSSP qui déploient ces outils sur des flottes de clients, car une compromission unique peut se propager à l'ensemble du parc géré. Les 11 pays ciblés incluent des marchés européens et nord-américains selon les données de Google GTIG.

Recommandations

• Vérifier immédiatement les journaux de mise à jour AOMEI Backupper et AnyViewer pour les dates du 28 mai, 16 juillet et 20 juillet 2026. Toute mise à jour effectuée ces jours-là doit déclencher une investigation forensique.
• Rechercher sur les systèmes concernés les indicateurs de compromission associés à CROSSROAD et SHINYROAD (hashes disponibles dans le rapport Google GTIG), les processus Radmin Server inattendus, et les connexions C2 vers des domaines Adaptix.
• Isoler temporairement les systèmes suspects du réseau jusqu'à analyse complète. Ne pas effectuer de nouvelles mises à jour AOMEI sans vérification de l'intégrité des binaires via hash SHA-256.
• Notifier les clients si vous êtes MSP et que vous avez déployé AOMEI sur des flottes gérées — vous avez une obligation de transparence en vertu du RGPD en cas de compromission avérée.