Seguridad · 22 de octubre de 2026
Ciberdelincuentes manipulan servidores de AOMEI para distribuir malware
Investigadores de seguridad informática confirmaron que actores maliciosos comprometieron los servidores de actualización de AOMEI para distribuir software malicioso a través de una función promocional integrada en su aplicación de respaldo. Los atacantes alteraron temporalmente archivos de configuración para redirigir las descargas de los usuarios hacia archivos maliciosos, restaurando los archivos originales en cuestión de minutos para ocultar la intrusión. Esta campaña de ataque a la cadena de suministro afectó a organizaciones en varios países durante un periodo limitado en el segundo trimestre de 2026.
La investigación fue llevada a cabo por el Laboratorio de Análisis de Amenazas de ManageEngine, en colaboración con el Grupo de Inteligencia de Amenazas de Google y Mandiant. Los expertos atribuyen la actividad a un actor de amenazas rastreado bajo el nombre UNC7017. Durante las ventanas de exposición, los atacantes distribuyeron un descargador de malware previamente desconocido llamado CROSSROAD y una puerta trasera denominada SHINYROAD. Estos componentes se instalaron en los sistemas de las víctimas sin requerir la interacción del usuario, aprovechando los mecanismos de notificación y actualización de la aplicación AOMEI Backupper.
Los ataques se detectaron inicialmente el 28 de mayo, cuando el software de seguridad de ManageEngine observó la instalación inesperada de la herramienta legítima de administración remota Radmin en computadoras de dos empresas no relacionadas. La sospecha surgió porque el proceso de promoción integrado de AOMEI, que normalmente gestiona contenido publicitario, fue el responsable de iniciar la instalación. Las pruebas iniciales no revelaron actividad maliciosa, lo que llevó a los investigadores a implementar un monitoreo continuo de los servidores del proveedor.
El 16 de julio, el monitoreo capturó las modificaciones maliciosas en tiempo real, confirmando que los sistemas de AOMEI estaban sirviendo contenido comprometido. Los atacantes alteraron dos archivos de configuración específicos: down_html.ini, que indica dónde descargar los paquetes de actualización, y Notifycfg.ini, que controla las notificaciones y puede ejecutar contenido en la computadora. Además, modificaron la suma de verificación esperada para que el archivo malicioso pasara las comprobaciones de integridad del software. Google y ManageEngine identificaron tres ventanas de exposición: el 28 de mayo durante diez minutos, el 16 de julio durante seis minutos y el 20 de julio durante cinco minutos.
El descargador CROSSROAD realizaba reconocimiento en la computadora infectada, descargaba componentes adicionales y establecía persistencia mediante una tarea programada. La puerta trasera SHINYROAD utilizaba componentes legítimos de Radmin para cargar código malicioso y establecer una conexión saliente con un servidor de comando y control controlado por el atacante. Durante el ataque del 20 de julio, se observó una segunda técnica que intentaba robar hashes de autenticación de Windows forzando al sistema de notificaciones a acceder a un recurso WebDAV controlado por el atacante a través de una ventana emergente invisible, lo que permitía la captura de hashes NTLM.
ManageEngine notificó a AOMEI sobre la actividad sospechosa el 7 de junio, más de un mes antes de capturar directamente los archivos maliciosos. AOMEI sugirió inicialmente que el contenido podría haber sido interceptado en tránsito, una explicación que los investigadores rechazaron basándose en la evidencia técnica. La compañía afirmó que su director de tecnología está investigando el incidente, mientras que los expertos advirtieron que la naturaleza oportunista de los ataques podría haber afectado a otras organizaciones que verificaron actualizaciones durante los breves periodos de exposición.