Zwischen Mai und Juli 2026 haben Angreifer in mehreren kurzen Zeitfenstern von fünf bis zehn Minuten die Update-Dateien von AOMEI Backupper auf den Servern des Herstellers ausgetauscht. Jede Kopie der Windows-Backup-Software, die in genau einem dieser Fenster nach Updates fragte, lud eine präparierte Paketdatei herunter und führte sie aus.

Für einen Betrieb, in dem AOMEI Backupper auf einem oder mehreren Rechnern läuft, ist das ein stiller Fall. Es gab keine auszunutzende Schwachstelle, keinen Patch, den man hätte installieren können, keine Benutzerinteraktion. Der Angreifer hat lediglich zwei Textdateien auf dem Hersteller-Server für ein paar Minuten verändert. Wer in dem Fenster abfragte, bekam das präparierte Paket; wer eine Minute früher oder später fragte, erhielt die echte Datei. Der Abgleich bei einer späteren Stichprobe sieht damit sauber aus, und genau das macht die Attacke schwer fassbar.

Die ausgeführte Komponente lief mit den Rechten des AOMEI-Dienstes. Auf den von ManageEngine untersuchten Maschinen reichte das aus, um Software systemweit zu installieren. AOMEI hat gegenüber Mandiant am 29. Juli 2026 berichtet, die Server abgesichert zu haben. ManageEngine konnte das zum Zeitpunkt der Veröffentlichung nicht unabhängig bestätigen, und ein Server-Fix räumt keine bereits kompromittierte Maschine auf.

Zwei Textdateien, drei Zeitfenster

Die Update-Prüfung steuern zwei Dateien: down_html.ini benennt das herunterzuladende Paket und den erwarteten Checksum, Notifycfg.ini bestimmt, was der Pop-up-Service anzeigt und ausführt. Weder Datei wird kryptografisch verifiziert, und der Checksum, der die Echtheit belegen soll, steckt in derselben ungesicherten Datei, die ihn angibt. Damit reicht das Ändern zweier Textdateien auf dem Server, um die gesamte Update- und Ausführungslogik auf dem Zielsystem umzuleiten.

GTIG und Mandiant haben drei Manipulationsfenster bestätigt: den 28. Mai 2026 (05:40 bis 05:50 UTC, zehn Minuten), den 16. Juli 2026 (08:33 bis 08:39 UTC, sechs Minuten) und den 20. Juli 2026 (10:35 bis 10:40 UTC, fünf Minuten). Weitere Fenster seien wahrscheinlich vorgekommen, die man nicht gesehen habe. GTIG ordnet die Kampagne der Gruppe UNC7017 zu, ohne einen Staat zu benennen. Aus der Telemetrie ergaben sich betroffene Organisationen in der IT-Dienstleistung, in der Telekommunikation und in der Hochschulbildung in elf Ländern. Die von ManageEngine untersuchte Version war 8.3.0; die aktuelle Release 8.5.0 vom 9. Oktober 2026 listet im Changelog keine Änderung an der Update-Verifikation.

Der Downloader, den GTIG CROSSROAD nennt, entpackte ein Bundle in einen lokalen Radmin-Ordner, legte eine geplante Aufgabe an (Start alle drei Stunden) und löschte sich anschließend von der Festplatte. Die Aufgabe führt eine signierte Kopie von Radmin aus, die eine Angreifer-DLL lädt, welche wiederum den SHINYROAD-Implant nachlädt. SHINYROAD bietet eine Remote-Shell und holt auf Befehl neuen Code. Die Steuerung läuft über einen einzigen, hartkodierten Endpunkt – wird die Adresse blockiert, reißt die Kontrolle ab. In späteren Phasen beobachtete GTIG zusätzlich das Open-Source-C2-Framework Adaptix, getarnt als Nitro-PDF-Software.

Das Fenster vom 20. Juli enthielt einen zweiten Mechanismus ohne Programmstart: Die Benachrichtigungsdatei wurde so geändert, dass ein unsichtbares Ein-Pixel-Pop-up eine Datei über WebDAV auf einem Angreifer-Server öffnete. Das Rendering kann Windows dazu bringen, die NetNTLMv2-Authentifizierungsantwort des eingeloggten Nutzers an die Angreifer-Adresse zu senden – ohne dass der User etwas sieht. Selbst wenn die Backdoor selbst blockiert war, konnte dieser Token abfließen.

Was jetzt zu tun ist

1. Auf jedem Rechner mit AOMEI Backupper die geplanten Aufgaben prüfen – gesucht wird nach RadminComponentRuntime oder NitroRuntime. Die gepufferten Dateien in den Backupper-eigenen Ordnern sichern, bevor man sie löscht.
2. Im Netzwerk die genannten Domains (storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com) und IPs (8.210.84[.]56, 8.218.65[.]184, 47.239.60[.]117) blockieren. Außerdem ausgehende SMB-Verbindungen (TCP 445) und WebDAV-Verbindungen zu externen Adressen unterbinden, um den Tokenabfluss über das unsichtbare Pop-up zu stoppen.
3. Die Netzwerk- und Endpoint-Logs für den Zeitraum April bis Juli 2026 durchsuchen. Nicht die aktuelle Downloadseite des Herstellers als Maßstab nehmen – die zeigt seit der Server-Bereinigung fast immer saubere Inhalte. Stattdessen: Welche Dateien wurden zu welchem genauen Zeitpunkt von den AOMEI-Servern abgerufen, welche geplanten Aufgaben wurden danach erzeugt, welche DLLs wurden aus Nebenpfaden geladen.

Das Ärgerliche an dieser Attacke: Sie hinterlässt keinen Eintrag in einer CVE-Datenbank, erzeugt keinen Patch, den man installieren könnte. Man merkt sie erst, wenn jemand die geplante Aufgabe findet – oder wenn die NetNTLMv2-Tokens offline geknackt werden. Wer jetzt unsicher ist, ob die eigenen Backup-Rechner im Mai oder Juli eine präparierte Datei gezogen haben, hat damit schon die richtige Frage gestellt.

Wir schauen uns das konkret an: einmal durch die geplanten Aufgaben, die Backupper-Ordner und die Netzwerk-Logs, um sicherzugehen, dass dort nichts liegt. Kontakt.

Beitragsbild: Polina Zimmerman auf Pexels