Colaron malware por minutos en las actualizaciones de AOMEI Backupper: qué revisar

Si usás AOMEI Backupper, el programa de copias de seguridad y clonado de discos para Windows, o AnyViewer, la app de escritorio remoto de la misma empresa, esto te toca de cerca. Según dos informes publicados el 15 y el 16 de octubre, uno de Google Threat Intelligence Group y Mandiant y otro del laboratorio de ManageEngine, entre abril y julio de 2026 un grupo de atacantes coló malware en el canal de actualizaciones de AOMEI: durante ventanas de cinco a diez minutos alteró los archivos que los servidores de la empresa usan para indicarle al programa qué descargar. Las PC que consultaron justo en esos minutos bajaron un paquete del atacante en lugar del oficial y el propio programa lo ejecutó; si el equipo pasaba los controles del malware, quedaba instalada una puerta trasera que permite controlarlo a distancia.

Qué hacer hoy: si tuviste AOMEI Backupper o AnyViewer instalado entre abril y julio, revisá tu PC con los pasos de abajo y, por las dudas, cambiá la contraseña de tu cuenta de Windows (más abajo explicamos por qué). Según los dos informes, AOMEI reportó haber corregido sus servidores, pero eso no limpia una PC que ya recibió el paquete: lo que se instaló en esos minutos queda funcionando. Si no usás ningún programa de AOMEI, esto no te afecta.

Cómo revisar tu PC

Son tres lugares, todos con herramientas de Windows. Los nombres salen de los indicadores que publicaron Google y ManageEngine:

1. Programas instalados. En Configuración > Aplicaciones > Aplicaciones instaladas (en Windows 10, Aplicaciones y características), buscá Radmin. ManageEngine encontró Radmin Server, una herramienta legítima de administración remota, instalado sin que nadie lo pidiera, en C:\Program Files (x86)\rserver30.
2. Carpetas. Pegá en la barra de direcciones del Explorador de archivos %LOCALAPPDATA%\Radmin y después %LOCALAPPDATA%\Nitro Pro. Según Google, el atacante dejó ahí sus archivos, disfrazados de componentes de Radmin y del editor de PDF Nitro Pro. Si la PC tiene varias cuentas, repetilo en cada una. Que las carpetas no existan no descarta nada: ManageEngine halló los componentes en Archivos de programa, así que las tareas del paso siguiente pesan más.
3. Tareas programadas (la señal más fuerte). Abrí el Programador de tareas (escribí «Programador de tareas» en el buscador de Windows) y buscá en la biblioteca dos nombres: RadminComponentRuntime y NitroRuntime. Así se aseguraba el malware de volver a arrancar.

Ojo con las falsas alarmas: Radmin y Nitro Pro son programas reales que mucha gente instala a propósito. Si los instalaste vos, encontrarlos no prueba nada. Lo sospechoso es que aparezcan sin que los hayas instalado, y sobre todo las dos tareas con esos nombres.

La contraseña, aunque la revisión salga limpia. El 20 de julio, según Google, el atacante sumó un segundo truco que no necesitaba instalar nada: una ventana invisible en las notificaciones del programa hacía que la PC se conectara a un servidor del atacante y le entregara un dato derivado de la contraseña del usuario de Windows (un hash NetNTLMv2), que se puede intentar descifrar o reutilizar. ManageEngine advierte que un equipo protegido contra la puerta trasera igual pudo filtrar esas credenciales. Esa vía no deja ninguno de los tres rastros de arriba. Por eso, si el programa estuvo abierto el 20 de julio (o en otra ventana que nadie vio), nuestra recomendación (no de los informes) es cambiar la contraseña de tu cuenta de Windows, o la de tu cuenta Microsoft si entrás con ella.

Si encontrás algo: desconectá la PC de internet, pasá un análisis completo con tu antivirus y cambiá tus contraseñas importantes desde otro dispositivo. Si la PC es de una empresa, avisá a quien administra los equipos antes de borrar nada, para no perder rastros. Esto también es recomendación nuestra, y tiene un límite: cuando ManageEngine encontró una muestra del malware en VirusTotal, el servicio que analiza archivos con decenas de antivirus, todos los motores la daban por inofensiva. Como la puerta trasera podía descargar código nuevo a pedido del atacante, ningún informe puede decir qué más hizo en cada equipo concreto; si encontraste rastros, lo más seguro es restaurar desde una copia anterior a abril o reinstalar Windows.

Si administrás equipos: el informe de Google publica hashes, dominios, direcciones IP y reglas de detección para buscar en toda la red entre abril y julio, y recomienda bloquear el tráfico SMB (puerto 445) y WebDAV saliente hacia internet.

Cómo funcionó: un desvío de minutos

AOMEI Backupper tiene servicios en segundo plano que consultan cada tanto los servidores de AOMEI. Según los informes, leen dos archivos de configuración: uno dice qué paquete descargar y con qué huella verificarlo, y el otro le indica al servicio de notificaciones qué mostrar y qué ejecutar. El problema, según ManageEngine: el programa no verifica que esos archivos sean auténticos, y la huella con la que controla el paquete viene escrita dentro del mismo archivo que podía alterarse. ManageEngine lo resume así: no hubo ninguna falla de software ni vulnerabilidad sin parchear; el atacante usó el canal de contenido promocional del programa tal como fue diseñado.

Durante las ventanas de ataque, los dos archivos apuntaban a un paquete del atacante y ordenaban ejecutarlo; terminados los minutos, el atacante volvía a poner los archivos legítimos. Una PC que consultaba antes o después recibía lo de siempre. Las ventanas que confirmaron Google y ManageEngine (en hora UTC):

Google aclara que esas son las ventanas que pudo ver: por lo corto de cada una, considera probable que haya habido otras fuera de su alcance. Y ese es el truco del ataque: cuando alguien revisaba los servidores de AOMEI horas después, encontraba todo en orden.

A quién alcanzó

Google atribuye la campaña a un grupo que identifica como UNC7017, y llama CROSSROAD al primer programa que se descargaba y SHINYROAD a la puerta trasera. Según su telemetría, hubo organizaciones afectadas de sectores diversos, entre ellos servicios informáticos, telecomunicaciones y educación superior, en once países: Australia, Brasil, India, Pakistán, Portugal, Singapur, Sudáfrica, España, Suiza, Turquía y Estados Unidos. Google describe las víctimas como oportunistas: el ataque intentaba llegar a cualquier equipo que consultara los servidores durante las ventanas, así que probablemente sean más que las que pudo identificar. Eso no quiere decir que se instalara en todos: según ManageEngine, el malware revisaba la ubicación del equipo y ciertos productos de seguridad, y se detenía si no le convenía seguir. Que Brasil esté en la lista no dice cuántos casos hubo en América Latina: ningún informe da cifras por país.

ManageEngine observó el ataque en AOMEI Backupper 8.3.0 y versiones posteriores, y dice que el informe de Google documenta que la campaña apuntó también a AnyViewer. Sobre otros programas de la marca, como AOMEI Partition Assistant, ninguno de los dos informes dice nada: no sabemos si estuvieron expuestos.

Un detalle que importa para medir el daño posible: el primer programa no traía forma propia de elevar permisos, sino que heredaba los del proceso de AOMEI que lo lanzaba. Como Backupper corre servicios en segundo plano y Radmin apareció instalado en una carpeta que normalmente exige permisos de administrador, ManageEngine dice que eso sugiere que la cadena corrió con permisos elevados.

¿Alcanza con actualizar AOMEI?

No hay una versión que se presente como solución. La última de AOMEI Backupper, la 8.5.0, salió el 9 de octubre, y su registro de cambios no menciona nada sobre cómo el programa verifica las actualizaciones. Tampoco encontramos un aviso de seguridad propio de AOMEI. Lo que sí hay es lo que la empresa les dijo a los investigadores: que corrigió sus servidores. ManageEngine aclara que no pudo verificar por su cuenta que el problema esté contenido.

En la práctica, los informes no piden desinstalar el programa, sino revisar los equipos que lo tuvieron instalado en esos meses. Y el caso tiene su ironía: la herramienta que instalaste para recuperarte de un desastre fue la puerta de entrada. La lección vale para cualquier marca: una copia de seguridad guardada fuera de la PC, en un disco que conectás solo para respaldar, no depende de que el software que la hizo esté sano.

Lo decimos de frente: en Tu Código Digital vendemos licencias de AOMEI Backupper. Los informes no distinguen entre la edición gratuita y las pagas, y no hay indicio de que el problema dependa de cómo se compró la licencia: el canal atacado es el que usa el programa para buscar novedades.

Preguntas que quedan

• Instalé AOMEI Backupper después de julio, ¿me afecta? Las ventanas confirmadas van de mayo a julio, con muestras del malware desde fines de abril. AOMEI respondió el 29 de julio que había tomado medidas, pero ManageEngine no pudo verificar que el problema esté contenido y Google no descarta otras ventanas que no vio. La revisión de arriba lleva un rato y sale gratis.
• ¿Mi antivirus lo hubiera frenado? Los informes dan señales en las dos direcciones: el malware se detenía si detectaba ciertos productos de seguridad (ManageEngine no dice cuáles), pero cuando apareció la muestra ningún motor de VirusTotal la marcaba como maliciosa. Y en los equipos donde ManageEngine lo vio, sus propias políticas estaban en modo de solo registro: anotaron la actividad sin bloquearla.
• ¿Se robaron mis copias de seguridad? Ningún informe lo dice. Lo que describen es un acceso remoto al equipo que podía recibir órdenes nuevas, así que no se puede descartar nada en una PC infectada.

Fuentes

• Google Threat Intelligence Group y Mandiant, Investigating Ephemeral Supply Chain Tampering, con fecha del 15 de octubre de 2026: ventanas, países, sectores, robo de credenciales, indicadores y recomendaciones (en inglés).
• ManageEngine Threat Analysis Lab (METAL), AOMEI Backupper supply-chain compromise: Investigation and analysis, 16 de octubre de 2026: detección, mecanismo, versiones observadas y estado del fabricante (en inglés). ManageEngine vende software de seguridad para empresas, el mismo que detectó el ataque.
• AOMEI, registro de cambios de AOMEI Backupper, consultado el 16 de octubre de 2026 (en inglés).