Ataque a Servidores de Atualização do AOMEI Backupper

Durante as janelas de comprometimento confirmadas — 28 de maio (05:40–05:50 UTC), 16 de julho (08:33–08:39 UTC) e 20 de julho (10:35–10:40 UTC) — qualquer instância do Backupper que verificasse atualizações baixava o pacote malicioso. O arquivo Notifycfg.ini instruía o programa a executar o conteúdo baixado, que operava com os privilégios do processo AOMEI. Nos sistemas analisados, isso foi suficiente para instalar software em todo o sistema, embora a elevação dependesse da configuração do serviço. A natureza efêmera das janelas tornou a detecção extremamente difícil, pois os arquivos legítimos eram restaurados minutos depois, fazendo com que análises pontuais parecessem normais.

Indicadores de Comprometimento (IOCs) e Artefatos Observados

O backdoor entregue, denominado CROSSROAD pela GTIG, era um downloader que descompactava um pacote em uma pasta local do Radmin, criava uma tarefa agendada (executada a cada três horas) e, em seguida, se autodestruía do disco. O pacote incluía uma cópia legítima e assinada do Radmin, uma ferramenta comercial de administração remota, mas o controle remoto real era estabelecido por um implante separado chamado SHINYROAD, que se comunicava com um único endereço IP codificado. O CROSSROAD também verificava a localização da máquina, interrompendo a execução se detectasse a China, e evitava hosts com determinados agentes de segurança. Em máquinas que passavam nos checks, um segundo estágio era implantado: o framework Adaptix C2, disfarçado como software Nitro PDF. Na janela de 20 de julho, uma técnica adicional foi observada: o Notifycfg.ini foi modificado para abrir um pop-up invisível de um pixel apontando para um arquivo em um servidor WebDAV do invasor, induzindo o Windows a enviar a resposta de autenticação NetNTLMv2 do usuário logado, um token que pode ser quebrado offline ou reutilizado para movimentação lateral.

Os seguintes indicadores podem ser usados para caça a ameaças em endpoints e redes:

Implicações para a Segurança Corporativa e Resposta a Incidentes

Este ataque sublinha a fragilidade dos mecanismos de atualização que carecem de autenticação criptográfica ponta a ponta. A confiança no canal HTTPS, embora proteja contra interceptação em trânsito, não garante a integridade da origem se o próprio servidor for comprometido. Organizações que utilizam AOMEI Backupper ou AnyViewer devem conduzir uma caça ativa a ameaças cobrindo o período de abril a julho de 2026, pois a correção dos servidores pelo fabricante não remove o backdoor de máquinas já infectadas. A GTIG e a Mandiant enfatizam que não se deve julgar um alerta verificando a página de download atual do fornecedor; os arquivos maliciosos estavam presentes apenas durante as janelas curtas. Em vez disso, deve-se preservar os arquivos em cache nas pastas do programa e examinar os logs de rede para o que foi servido no momento exato do alerta.

Além dos IOCs listados, as equipes de segurança devem bloquear o tráfego SMB de saída (TCP 445) e WebDAV para endereços externos para mitigar a técnica de roubo de credenciais NetNTLMv2. Regras YARA (da GTIG) e Sigma (da ManageEngine) foram publicadas para detecção. A resposta a incidentes deve incluir a verificação de tarefas agendadas suspeitas, arquivos executáveis não assinados com metadados do AOMEI e qualquer processo executado a partir da pasta de pop-ups do Backupper. A remediação envolve a remoção das tarefas, arquivos e chaves de registro associadas, além da reavaliação da postura de segurança do endpoint, incluindo a rotação de credenciais potencialmente expostas.

Conexão com o Sequestro de Contas em Redes Sociais

O comprometimento de endpoints por meio de backdoors como o SHINYROAD frequentemente serve como vetor inicial para o sequestro de contas em redes sociais. Uma vez que o invasor obtém uma shell remota no sistema da vítima, ele pode acessar sessões autenticadas em navegadores, capturar cookies, keylogs ou tokens de acesso, e assumir o controle de perfis no Instagram, Facebook, LinkedIn e outras plataformas. No contexto deste ataque, a técnica de roubo de NetNTLMv2 também pode fornecer credenciais de domínio que, se reutilizadas em serviços de redes sociais, permitem o acesso direto. O sequestro de contas pode resultar em danos reputacionais, disseminação de phishing para contatos, extorsão e até mesmo acesso a informações corporativas compartilhadas nessas plataformas.

Para mitigar esse risco, os usuários devem adotar autenticação multifator (MFA) em todas as contas de redes sociais, preferencialmente com métodos resistentes a phishing, como chaves de segurança FIDO2. Além disso, é crucial monitorar atividades suspeitas, como logins de locais desconhecidos, alterações não autorizadas de perfil e mensagens enviadas sem consentimento. A verificação regular de vazamentos de dados associados ao e-mail corporativo pode alertar sobre credenciais expostas que poderiam facilitar o sequestro. A Kzarka oferece monitoramento contínuo de identidade digital, notificando os usuários quando suas informações aparecem em vazamentos conhecidos, permitindo uma resposta proativa antes que os criminosos explorem esses dados.

Lições Aprendidas e Recomendações de Proteção

O ataque ao AOMEI Backupper reforça a necessidade de uma abordagem de segurança em camadas, que não dependa exclusivamente da integridade do fornecedor. As organizações devem implementar controles como:

• Verificação de integridade de software: Exigir que os fornecedores assinem digitalmente todos os artefatos de atualização e que os clientes validem essas assinaturas antes da instalação.
• Segmentação de rede: Limitar a comunicação de saída para domínios e IPs estritamente necessários, bloqueando WebDAV e SMB externos.
• Monitoramento comportamental: Utilizar EDR (Endpoint Detection and Response) com regras comportamentais para detectar a criação de tarefas agendadas incomuns ou a execução de processos a partir de pastas não padrão.
• Resposta a incidentes ágil: Manter playbooks que considerem ataques à cadeia de suprimentos, incluindo a preservação de artefatos voláteis e a análise de logs históricos.
• Educação do usuário: Conscientizar sobre os riscos de reutilização de senhas e a importância da MFA, especialmente para contas de redes sociais que podem ser alvo de sequestro.

Para indivíduos, a vigilância sobre a exposição de dados pessoais é fundamental. Serviços de monitoramento como a Kzarka permitem que os usuários verifiquem se suas informações foram comprometidas em vazamentos, recebam alertas em tempo real e tomem medidas corretivas, como a alteração de senhas e a ativação de MFA. Em um cenário onde ataques à cadeia de suprimentos podem comprometer silenciosamente milhares de máquinas, a capacidade de detectar e responder rapidamente à exposição de credenciais é uma defesa crucial contra o roubo de identidade e o sequestro de contas.

FAQ - Perguntas Frequentes

O que é um ataque à cadeia de suprimentos?

É um tipo de ataque cibernético que explora a confiança entre um fornecedor e seus clientes. Em vez de atacar diretamente o alvo, o invasor compromete um software ou serviço legítimo do fornecedor, como um mecanismo de atualização, para distribuir malware para todos os usuários desse software.

Como sei se meu sistema foi afetado pelo ataque ao AOMEI Backupper?

Verifique se você usou o AOMEI Backupper entre maio e julho de 2026 e se o software verificou atualizações durante as janelas específicas (28/05, 16/07, 20/07). Procure por tarefas agendadas chamadas RadminComponentRuntime ou NitroRuntime, arquivos upgrade-now.exe não assinados na pasta do AOMEI, ou processos executados a partir da pasta de pop-ups. Além disso, monitore conexões de rede para os IPs e domínios listados nos IOCs.

O fabricante AOMEI corrigiu o problema?

Sim, a AOMEI afirmou ter tomado medidas corretivas em seus servidores. No entanto, isso não remove o backdoor de máquinas já infectadas. É essencial realizar uma varredura completa nos endpoints e aplicar as devidas remediações.

Esse ataque pode levar ao sequestro das minhas redes sociais?

Sim. Um backdoor como o SHINYROAD permite que o invasor acesse seu sistema, potencialmente capturando cookies de sessão, senhas salvas no navegador ou tokens de autenticação. Com esses dados, o criminoso pode assumir o controle de suas contas em redes sociais, enviar mensagens maliciosas para seus contatos e causar danos à sua reputação.

Como posso proteger minhas contas de redes sociais contra sequestro?

Ative a autenticação multifator (MFA) em todas as plataformas, use senhas únicas e fortes (preferencialmente com um gerenciador de senhas), evite reutilizar credenciais e monitore regularmente a atividade de login. Além disso, verifique se seu e-mail não apareceu em vazamentos de dados, pois credenciais expostas são um vetor comum para sequestro.

Como a Kzarka pode ajudar na proteção contra esses riscos?

A Kzarka monitora continuamente a internet em busca de vazamentos de dados associados ao seu e-mail, CPF ou outros identificadores. Ao detectar que suas informações foram comprometidas, você recebe um alerta imediato, permitindo que você altere senhas, ative MFA e tome outras medidas preventivas antes que os criminosos explorem seus dados para fraudes ou sequestro de contas. Visite https://kzarka.com para verificar sua exposição.