Angreifer verbreiten Malware über AOMEI-Updates - auch in der Schweiz

(Source: Johnnii / stock.adobe.com)

(Source: Johnnii / stock.adobe.com)

Zwischen April und Juli 2026 haben Unbekannte die Update- und Benachrichtigungssysteme der Windows-Software AOMEI Backupper missbraucht, um Schadsoftware zu verbreiten. Auch Schweizer Organisationen waren von den Angriffen betroffen, wie "BleepingComputer" unter Berufung auf Untersuchungen von Google Mandiant und Manageengine berichtet. 

Die Angreifer manipulierten zwei Konfigurationsdateien auf den Servern des Backup-Softwareherstellers. Dadurch brachten sie AOMEI Backupper dazu, Schadsoftware herunterzuladen und ohne Zutun der User auszuführen. Ausserdem passten sie die hinterlegte Prüfsumme an, sodass das manipulierte Updatepaket die Dateiprüfung der Software bestand.

Angreifer verwischen ihre Spuren

Bei drei nachgewiesenen Angriffen im Mai und Juli stellten die Angreifer die ursprünglichen Konfigurationsdateien jeweils nach fünf bis zehn Minuten wieder her. Dadurch erschwerten sie den Nachweis der Angriffe. Erst durch eine kontinuierliche Überwachung der AOMEI-Server gelang es den Forschenden, die Manipulationen auf den Servern direkt nachzuweisen.

Über diesen Weg verbreiteten die Angreifer unter anderem den Malware-Downloader Crossroad und die Hintertür Shinyroad. Letztere nutzt Komponenten der Fernwartungssoftware Radmin, um Verbindungen zu Servern der Angreifer herzustellen. Bei einem Angriff im Juli versuchten die Unbekannten zudem, Prüfwerte von Windows-Anmeldedaten (NTLM-Hashes) abzugreifen.

AOMEI untersucht den Vorfall

Die Forschenden informierten AOMEI bereits Anfang Juni über die verdächtigen Aktivitäten. Der Softwarehersteller erklärte später, seine Server aktualisiert und mögliche Schwachstellen behoben zu haben. Gegenüber "BleepingComputer" teilte AOMEI mit, der Technikchef leite eine interne Untersuchung. Wie die Angreifer Zugriff auf die Infrastruktur erlangten und ob AOMEI den Vorfall vollständig bereinigt hat, blieb zunächst offen.

Die Sicherheitsforschenden warnen derweil, dass die Absicherung der Server keine bereits installierte Schadsoftware entfernt. Unternehmen, die AOMEI Backupper einsetzen, sollten ihre Systeme deshalb auf verdächtige Aktivitäten prüfen. Die Forschenden haben dazu konkrete Erkennungsmerkmale veröffentlicht.

Übrigens: Auch beim Texteditor Notepad++ haben Angreifer den Update-Prozess manipuliert. Wie sie den Update-Verkehr über einen kompromittierten Webhoster umleiteten, lesen Sie hier.