Beveiligingsonderzoekers waarschuwen voor een AOMEI Backupper compromis dat zich verspreidde via het update- en contentmechanisme van de Windows-software. In plaats van langdurige manipulatie gebruikten aanvallers korte aanvalstijdvensters, waardoor de periode waarin systemen besmet konden raken extreem beperkt was.
AOMEI Backupper is een tool voor back-ups, synchronisatie en het klonen van schijven. De leverancier geeft aan dat de software wereldwijd door meer dan 186 miljoen mensen wordt gebruikt, zowel voor thuisgebruik als in zakelijke omgevingen en Windows Server-scenario’s. Juist die brede aanwezigheid maakt dit soort supply chain incidenten extra relevant.
Wat is er precies gebeurd?
Het incident vond plaats tussen april en juli en kenmerkte zich door zogenaamde short-burst supply chain compromissen. Daarbij werden de updates en content die gebruikers binnenhaalden, tijdens zeer korte momenten gemanipuleerd.
Volgens analyses van Google Threat Intelligence (GTIG) en Mandiant, samen met ManageEngine Threat Analysis Lab (METAL), bleven de manipulaties doorgaans slechts 5 tot 10 minuten actief voordat het systeem terugkeerde naar de originele versies. Daardoor konden beveiligingssignalen lastiger worden opgemerkt en was de kans op detectie kleiner.
Welke doelen werden getroffen?
De campagne leek niet op maat gemaakt: systemen die tijdens de aanvalstijdvensters de aangepaste AOMEI Backupper pakketten ophaalden, kregen de gemanipuleerde inhoud. Wel identificeerden onderzoekers gecompromitteerde entiteiten in onder meer Australië, Brazilië, India, Pakistan, Portugal, Singapore, Zuid-Afrika, Spanje, Zwitserland, Türkiye en de Verenigde Staten.
Ook is vastgesteld dat er in 2026 meerdere tijdvensters werden bevestigd en dat malwaremonsters in het wild al vanaf eind april zijn waargenomen. Omdat de manipulaties zo kort waren, is niet uitgesloten dat er extra perioden buiten het zicht van de onderzoekers plaatsvonden.
Hoe verloopt een short-burst supply chain aanval?
In dit geval manipuleerden aanvallers de update-instellingen van een server. Ze gebruikten dat mechanisme om om te leiden naar een malicious ZIP archive en pasten daarnaast de automatische meldservice aan zodat besmette systemen de malware automatisch zouden uitvoeren zodra ze de aangepaste inhoud binnenhaalden.
Wat dit incident technisch extra interessant maakt, is dat de distributie liep via een promotiekanaal binnen AOMEI Backupper. Dat kanaal draait met achtergrondservices die periodiek content ophalen van AOMEI’s servers. In de analyse wordt beschreven dat er twee configuratiepaden bestaan die in de praktijk naar dezelfde locatie samenkomen: één pad bepaalt wat er terechtkomt in een map binnen html, en het andere pad bepaalt wat er vanaf die locatie mag worden uitgevoerd.
Belangrijk detail: die configuratiebestanden zijn volgens METAL niet cryptografisch geauthenticeerd aan de clientzijde. Bovendien wordt de checksum die de archive moet valideren, gedeclareerd in hetzelfde onbeveiligde bestand dat ook de bestandsnaam benoemt. Met andere woorden: de controlemechanismen waren niet robuust genoeg om manipulatie op dit punt te voorkomen.
Welke malware en technieken kwamen voorbij?
Onderzoekers beschrijven meerdere payloads die in verschillende stadia werden ingezet. Het startpunt bestond uit de CrossRoad downloader en later werd een modulair backdoorframework gedropt, genaamd ShinyRoad.
In de analyses wordt CrossRoad onder meer beschreven als malware die systeemvalidatie uitvoert, opruimt, de uiteindelijke payload voorbereidt en ook persistence regelt voor de latere backdoor. Vervolgens werd CrossRoad ook weer van de schijf verwijderd, wat de aanwezigheid moeilijker traceerbaar maakt.
Daarnaast zagen onderzoekers dat aanvallers gebruikmaakten van een legitieme Radmin Server (remote administratietool) in combinatie met een kwaadwillende DLL. Die DLL legde volgens de beschrijving een reverse TCP verbinding naar de command-and-control (C&C) server. Dit patroon past bij aanvallen waarbij de tooling deels “legit” lijkt, terwijl de werkelijke kwaadaardige functionaliteit via geladen componenten wordt toegevoegd.
Secundaire misbruikroute en credential harvesting
Google Cloud rapporteert ook dat UNC7017 een extra exploitvector introduceerde. Daarbij werd een legitieme banner vervangen door een klein (1×1) venster dat een hoge uitvoeringsprioriteit kreeg. Dat dwong de AOMEI-client om via WebDAV een remote resource op te vragen.
Het gevolg: systemen stuurden NetNTLMv2 authenticatiehashes naar de aanvallers. Dit is een techniek die niet alleen toegang kan faciliteren, maar ook later misbruikt kan worden voor verdere aanvallen.
Doorheen de campagne kwamen ook onderdelen zoals de Adaptix C2 en later AdaptAgent voorbij. AdaptAgent wordt in de analyse gekoppeld aan post-exploitation activiteiten binnen het Adaptix ecosysteem.
Waarom dit incident anders is dan “klassieke” supply chain aanvallen
Onderzoekers plaatsen dit incident in een bredere trend van evoluerende supply chain methoden. Traditioneel richten aanvallen zich vaak op het inbouwen van achterdeuren in de broncode of het manipuleren van de ontwikkel- en build pipelines.
UNC7017 leek daarentegen een lager-overhead, hogere-stealth aanpak te gebruiken: in plaats van langdurig met een gemanipuleerde versie rond te lopen, werden instellingen en distributielogica kortstondig gewijzigd. Daardoor wordt de kans groter dat het patroon buiten observatie blijft.
Wat betekent dit voor organisaties en gebruikers?
Het meest directe risico zit in de gedachte: als je AOMEI Backupper pakketten hebt opgehaald tijdens zo’n tijdvenster, is een besmetting mogelijk. De aanval was bovendien niet uitsluitend gericht op één specifieke doelgroep, waardoor het “ik val niet in de lijst” argument minder sterk is.
Concreet betekent dit voor je aanpak:
- Check je omgeving: gebruik je AOMEI Backupper op endpoints, servers of in back-up-/restore-ketens?
- Let op verdachte uitvoering: houd rekening met payloads die achteraf persistence opzetten of reverse verbindingen leggen.
- Vergeet credentials niet: als WebDAV-aanvragen of NetNTLMv2-gerelateerde sporen voorkomen, kan dat wijzen op misbruikroutes.
- Herstel en monitoring: zelfs na correcties blijft het belangrijk om te controleren of systemen al eerder zijn geraakt.
Omdat aanvallers in dit scenario ook legitieme componenten (zoals een remote admin tool) als onderdeel van de keten gebruikten, is het extra belangrijk om niet alleen naar “de applicatie” te kijken, maar naar het totale gedrag van je systemen.
Praktische vervolgstappen (direct toepasbaar)
Je hoeft niet te wachten op een volledig forensisch rapport om nu al actie te ondernemen. Hieronder staan stappen die passen bij dit type aanval.
1) Inventariseer waar AOMEI Backupper draait
Breng in kaart welke werkstations, servers en Windows-omgevingen AOMEI Backupper gebruiken. Denk ook aan systemen die updates ophalen via interne netwerken, want dat kan de verspreiding beïnvloeden.
2) Zet logging en detectie extra aan
Focus op signalen die passen bij de beschreven keten: verdachte DLL-loads, netwerkconnecties naar onbekende C&C-destinations en WebDAV-gerelateerde verzoeken met ongebruikelijke patronen.
3) Pas correcties toe en controleer op restsporen
Onderzoekers melden dat AOMEI in reactie op meldingen later correctieve acties zou hebben genomen. Maar ook daarna is het verstandig om te controleren of er geen kwaadaardige componenten zijn blijven draaien.
4) Verbeter je supply chain weerbaarheid
Dit incident onderstreept het belang van sterke authenticatie van updates en content. Als je proces slechts vertrouwt op controles die gevoed kunnen worden door onbeveiligde bestanden, wordt manipulatie makkelijker.
Wil je extra context over supply chain en aanvalspatronen in de praktijk? Lees dan ook hoe misbruik van geautomatiseerde ketens aanvallen versnelt.
En als je organisatie al eerder te maken kreeg met software die via updates of configuraties werd beïnvloed, kan deze pagina helpen bij het bredere kader: waarom misbruik van cloud-accounts tot snelle maatregelen kan leiden.
Conclusie
Het AOMEI Backupper compromis laat zien hoe supply chain aanvallen steeds slimmer kunnen worden: in plaats van wekenlang gemanipuleerde software te distribueren, volstaat een reeks korte tijdvensters van minuten. Daardoor kunnen besmettingen plaatsvinden voordat incidentteams het patroon opmerken.
Voor gebruikers en organisaties komt het neer op één boodschap: ga ervan uit dat elk systeem dat tijdens die momenten updates ophaalde, onderzocht moet worden. Combineer inventarisatie, gerichte detectie en monitoring met een supply chain-mentaliteit waarin authenticatie en integriteitschecks echt uitkomst bieden.
Bron: https://www.securityweek.com/aomei-backupper-compromised-in-short-burst-supply-chain-campaign/
