↓Перейти к содержанию
  1. Статьи/

Бэкдор в обновлении AOMEI Backupper: как проверить свой ПК

·6 минут
Windows Безопасность Вирусы Windows-11 Windows-10 Диагностика
Содержание

Программа резервного копирования — то, что ставят, чтобы данные не потерялись. AOMEI Backupper в этом смысле удобна: ставится на домашний ПК, делает образы системы, клонирует диски. Именно её механизм обновлений и стал входной дверью.

С апреля по июль 2026 года неизвестные на несколько минут меняли два служебных файла на серверах AOMEI. Если в эти минуты программа проверяла обновления, она скачивала и запускала чужой код — с правами процесса AOMEI. Уязвимости в программе не понадобилось. AOMEI сообщила, что закрыла серверы, но на уже заражённых компьютерах ничего не изменилось.

Ниже — как это работало, что именно ставилось и как проверить свой ПК. Проверка занимает пару минут и не требует антивирусной лаборатории.

Что случилось #

Атаку 15 октября описали Google Threat Intelligence Group и Mandiant, 16 октября — ManageEngine Threat Analysis Lab. Кампанию ведёт кластер, который отслеживают как UNC7017. Затронуты два продукта AOMEI: Backupper и AnyViewer (удалённый доступ).

Вредоносные сборки появились в конце апреля. Подтверждённые окна подмены — три:

  • 28 мая, 05:40–05:50 UTC (10 минут);
  • 16 июля, 08:33–08:39 UTC (6 минут);
  • 20 июля, 10:35–10:40 UTC (5 минут).

Скорее всего, окна были не только эти: изменения возвращали к исходному виду через несколько минут, поэтому следов на серверах почти не оставалось.

Пострадавшие — организации в ИТ-услугах, телекоме и вузы в 11 странах, от Австралии до США. Атака была неадресной: вредоносный пакет получал любой компьютер, который проверял обновления в момент подмены.

Как программа сама себя обновляла #

AOMEI Backupper и AnyViewer обращаются к серверам вендора за двумя файлами конфигурации:

  • https://www2.aomeisoftware.com/download/abpopup/down_html.ini — номер версии, MD5 пакета и ссылка на upgrade-now.zip;
  • https://account.aomeitech.com/Notifycfg.ini — что показать в уведомлении и что запустить из локальной папки программы.

В обычном состоянии оба файла указывают на официальные адреса AOMEI. В момент подмены злоумышленники меняли ссылку на свой домен, поднимали версию (поле thrid с 5 на 6, потом на 7) и синхронно подставляли MD5 чужого архива.

Главная деталь: контрольная сумма лежит в том же неподписанном файле, который указывает на пакет. Проверить подпись конфигурации программа не может, а значит MD5 защищает только от случайной порчи файла, но не от подмены. HTTPS тоже не спасает: он защищает канал, а не содержимое на сервере.

Со вторым файлом поступили грубее. В Notifycfg.ini добавили больше 35 тысяч повторяющихся секций вида [dummy_XXXXXX] — чтобы сбить проверку версии и заставить службу уведомлений запустить upgrade-now.exe из папки html\ сразу после распаковки.

Что устанавливалось #

Загрузчик, который исследователи называют CROSSROAD, вёл себя как аккуратный гость. Проверял, есть ли в пути к самому себе слово AOMEI, — если нет, запускал самоудаление, но работу не прекращал. Определял страну по внешнему IP и прерывался, если это Китай. Проверял, не запущена ли уже такая копия, — чтобы не работать в два экземпляра.

Дальше — установка:

  • скачивал пакет component.zip (иногда en.zip) во временную папку, распаковывал в %LOCALAPPDATA%\Radmin\;
  • создавал задачу планировщика RadminComponentRuntime с запуском FamItrfc.exe --runtimechk каждые три часа;
  • откатывал локальный down_html.ini к штатным значениям — чтобы при проверке «а что там в конфиге» всё выглядело нормально;
  • удалял себя, переименовывая поток файла в альтернативный :wtfbbq.

В папке Radmin лежал подписанный Radmin 3.x — настоящий инструмент удалённого администрирования. Рядом — подложенная BlkScrDl.dll, которую подписанный FamItrfc.exe загружал при старте: обычный перехват DLL. Эта библиотека регистрировала RuntimeComponent.dll как COM-сервер, тот расшифровывал metadata.dat и исполнял байткод Python во встроенном интерпретаторе PocketPy.

Получался бэкдор SHINYROAD с удалённой командной строкой и собственным протоколом связи (сервер 8.218.65.184, порт 443). С июля поверх него ставили фреймворк Adaptix C2 под видом программ Nitro PDF: задача \NitroRuntime и файл Eztwain4.dll в %LOCALAPPDATA%\Nitro Pro\.

Вектор без запуска кода #

20 июля в том же файле уведомлений появилось невидимое окно размером один пиксель с максимальным приоритетом. Оно ссылалось на file://8.210.84.56/DavWWWRoot/..., то есть на WebDAV-ресурс.

Такой запрос Windows могла выполнить с учётными данными пользователя — и отправить на сервер злоумышленников хеш пароля NetNTLMv2. Для этого не нужно было запускать ни одного файла: достаточно, чтобы программа отрисовала уведомление.

Почему обновление программы не лечит #

Это самый практичный момент. AOMEI закрыла серверы, но очистка серверной стороны не удаляет то, что уже установлено на компьютере. Задачи планировщика и файлы в %LOCALAPPDATA% продолжают работать.

В списке изменений AOMEI Backupper последняя версия — 8.5.0 от 9 октября 2026 года. В списке изменений только исправления клонирования, WinPE и работы с сетевыми путями. Упоминания инцидента нет, публичного бюллетеня безопасности найти не удалось. Поэтому «обновиться до 8.5.0» — не лечение заражения, а максимум гигиена.

Проверка ПК #

Откройте PowerShell (в Windows 11 — Терминал) от имени администратора и проверьте задачи:

Get-ScheduledTask | Where-Object TaskName -in 'RadminComponentRuntime','NitroRuntime'

Пустой вывод — задач нет. Если вывод есть, посмотрите на действие задачи:

Get-ScheduledTask -TaskName 'RadminComponentRuntime' | Select-Object -ExpandProperty Actions

Задача с FamItrfc.exe --runtimechk из %LOCALAPPDATA%\Radmin — это ровно то, что создаёт загрузчик. Вторая, NitroRuntime, запускает PowerShell со скрытым окном и NitroPromotion.exe из %TEMP%.

Дальше — файлы:

Get-Item "$env:LOCALAPPDATA\Radmin","$env:LOCALAPPDATA\Nitro Pro" -ErrorAction SilentlyContinue

В %LOCALAPPDATA%\Radmin\ вредоносные — BlkScrDl.dll, csvc\RuntimeComponent.dll, config.zip, metadata.dat. Файлы FamItrfc.exe, FamItrf2.exe, WinLpcDl.dll, WinLpcDl2.dll подписаны и сами по себе легитимны: их используют как прикрытие, поэтому удалять только по имени нельзя.

В %LOCALAPPDATA%\Nitro Pro\ ищите Eztwain4.dll и NitroPromotion.exe. Ещё одна точка — папки установки AOMEI: html\ и Tmphtml\. Там не должно быть upgrade-now.zip или upgrade-now.exe.

Если на компьютере есть прокси или файрвол с журналом, проверьте обращения к storage-data.com, promotion.storage-data.com, aomei.storage-data.com, 8.210.84.56, 8.218.65.184, 47.239.60.117. Отдельный признак — User-Agent Anyviewer-loader/1.0 или Anyviewer-ipcheck/1.0.

Проверить сам файл по хешу можно на VirusTotal. Хеши основных компонентов опубликованы в отчёте Google Cloud, в том числе upgrade-now.exe от 16 июля — 9a58e8f49edf5644e5728f74cf36f560d3d486fa51db4db69d927963c7aca450.

Если индикаторы нашлись #

Порядок такой: отключить компьютер от сети, сохранить копии подозрительных файлов (они пригодятся при разборе), удалить задачи и папки, затем сменить пароли — в первую очередь от почты и от аккаунтов, где сохранены платёжные данные.

Смена паролей обязательна даже без запуска бэкдора: вектор с WebDAV мог отдать хеш NetNTLMv2. Хеш не равен паролю, но подбирается и используется для атак «передачей хеша». Если диск зашифрован BitLocker, проверьте, что ключ восстановления сохранён в аккаунте Microsoft или на бумаге: после переустановки без него система попросит код, которого под рукой может не быть.

Отдельно проверьте резервные копии. Если заражение было, бэкап на сетевой диск или NAS мог быть сделан уже с заражённой системы. Проверьте целостность образов и даты: в Backupper есть встроенная проверка образа. Как устроен полный разбор вредоносного ПО на домашнем ПК — в материале «Что такое вредоносные программы, как их найти и удалить».

Чего делать не стоит #

Не удаляйте Radmin по одному названию папки. Если вы сами ставили Radmin Server или AnyViewer, легитимная установка выглядит похоже: подписанные FamItrfc.exe и WinLpcDl.dll — нормальные файлы Famatech. Признак заражения — неподписанная BlkScrDl.dll рядом с ними и задача, созданная без вашего участия.

Не рассчитывайте, что проверка задач и папок даёт гарантию чистоты. Она ловит известные индикаторы этой кампании, но не заменяет полное сканирование. Если есть подозрение на активное проникновение, надёжнее переустановить Windows 11 и уже потом возвращать файлы из копий.

И не путайте эту историю с ошибками установки обновлений Windows. Здесь не было ни сбоя KB, ни повреждённых компонентов: работал штатный механизм обновления AOMEI, в который вмешались снаружи.

FAQ #

AOMEI Backupper сейчас безопасна? Серверы вендора закрыты; подтверждённых окон подмены после 20 июля 2026 года в отчёте нет. Но если программа работала в мае–июле, проверка нужна: серверный фикс не чистит компьютер.

Затронут ли AnyViewer? Да, AnyViewer использует ту же инфраструктуру обновлений AOMEI. Проверка задач и папок для него такая же.

Можно ли обойтись удалением AOMEI? Нет. Удаление программы не убирает задачи RadminComponentRuntime и NitroRuntime и файлы в %LOCALAPPDATA% — их нужно удалять отдельно.

Как это вообще прошло без уязвимости? Использовали логику самой программы: она доверяет конфигурации на сервере и запускает то, что там указано. Подмены на 5–10 минут хватило, чтобы обойти проверки по времени.