LONDON (IT BOLTWISE) – Angreifer haben zwischen Ende Mai und Mitte Juli 2026 Update-Dateien bei AOMEI Backupper für wenige Minuten pro Fenster manipuliert. Wer in so einem Zeitfenster prüfte, lud eine präparierte Paketdatei herunter und führte sie anschließend mit den Rechten des Backupper-Dienstes aus. Betroffen sind laut den beteiligten Threat-Intelligence-Teams Organisationen in 11 Ländern, ohne dass zuvor eine echte Sicherheitslücke ausgenutzt werden musste. Entscheidender Punkt: Ein Server-Fix entfernt keine bereits kompromittierten Maschinen, weil die Schadsoftware auf den Endpunkten zurückgesetzt werden kann.
Bei AOMEI Backupper ist eine klassische Lieferkettenattacke besonders schwer zu fassen, weil sie nicht auf eine dauerhaft präparierte Infrastruktur setzt. Laut den beteiligten Threat-Intelligence-Teams wurden die Dateien, die Backupper von den eigenen Update-Servern des Herstellers bezieht, in mehreren sehr kurzen Zeitfenstern zwischen Mai und Juli 2026 wiederholt geändert. Diese Manipulationen wirkten jeweils nur so lange, bis ein System in genau diesem Zeitraum nach Updates fragte. Wer davor oder danach abfragte, erhielt die erwarteten, „echten“ Dateien – der Abgleich fällt damit ausgerechnet dann unauffällig aus, wenn Ermittler auf punktuelle Stichproben statt auf den genauen Abrufzeitpunkt setzen.
Technisch basiert der Mechanismus auf zwei Dateien, die Backupper für die Update-Prüfung verwendet: down_html.ini bestimmt, welches Update-Paket heruntergeladen werden soll und welchen Prüfwert das Programm zur Integritätskontrolle erwartet. Notifycfg.ini steuert, welche Inhalte der Pop-up-Service anzeigen soll und welches weitere Element dadurch ausgeführt wird. Entscheidend ist dabei die Kette der fehlenden bzw. unzureichenden kryptografischen Absicherung: Die beiden Dateien werden nicht kryptografisch gegeneinander verifiziert, und der erwartete „Checksum“-Wert, der die Echtheit belegen soll, steckt in demselben ungesicherten Textartefakt. Damit reicht schon das Ändern zweier Textdateien auf dem Server, um eine Update- und Ausführungslogik auf dem Zielsystem anzustoßen – ohne dass eine verwundbare Programmstelle im Sinne einer klassischen CVE-Exploitation vorlag.
Die Kampagne zeigt anschließend eine zweite Ebene der Machbarkeit: Ein heruntergeladenes Komponentenpaket entpackt sich mit einem Loader, legt Nutzdaten in einem lokalen Ordner an und legt eine geplante Aufgabe an, die in Intervallen von drei Stunden startet. Danach entfernt sich der Downloader wieder von der Festplatte, was die Analyse „im Moment des Auftretens“ zusätzlich erschwert. In den untersuchten Fällen stieg die Kontrolle darüber, was auf dem System lief, bis in die Rechte der ausführenden Backupper-Prozesse. Besonders auffällig ist zudem, dass die geplante Aufgabe ein legitimes, signiertes Remote-Administration-Tool als Basis verwendet: Einem Remote-Administration-Programm sollte damit zwar Vertrauen entstehen, tatsächlich wurden aber daneben ein DLL-Last-Stage und ein weiterer Implant-Teil nachgeladen, der dann einen Remote-Shell-Zugriff ermöglicht und auf Befehle reagieren kann. Für die Steuerung ist ein harter Endpunkt hinterlegt; wird diese Zieladresse blockiert, reißt die Kontrolle ab.
Auf der Zielmaschine kamen nicht nur eine Komponente, sondern mehrere Tricks zusammen. Eine der Varianten nennt Prüfbedingungen für den Einsatzkontext: Der Ablauf stoppt, wenn die Systemposition in einem bestimmten Land liegt, und nach Ergänzungen im Laborbericht auch, wenn bestimmte Sicherheitsprodukte erkannt werden. In anderen Fällen beobachteten die Teams außerdem, dass ein C2-Framework (Adaptix) als „Nitro PDF“-ähnliche Oberfläche getarnt wurde und erst im Anschluss an die Erstinstallation relevant wurde. Zudem gab es am 20. Juli 2026 eine zweite Ausspielvariante ohne klassischen Programmstart: Die Benachrichtigungsdatei wurde so angepasst, dass ein unsichtbares Ein-Pixel-Pop-up eine Datei über WebDAV auf einer Angreifer-Infrastruktur öffnete. Schon das kann unter Windows dazu führen, dass Authentifizierungsinformationen im Rahmen von NetNTLMv2-Workflows an eine externe Adresse gesendet werden – sichtbar für Nutzer ist dabei nichts, und selbst wenn die Backdoor selbst blockiert wird, bleibt die Möglichkeit, dass solche Tokenabflüsse später offline weiterverarbeitet werden.
Für die Einordnung im Betrieb ist zudem relevant, wie spät und unter welchen Rahmenbedingungen die Aktivitäten entdeckt wurden. In einem der Berichte heißt es, dass ein Endpoint-Schutz bereits am 28. Mai 2026 Aktivität registrierte, weil AOMEI Backupper das Remote-Administration-Tool in zwei Fällen bei unterschiedlichen Kunden in unterschiedlichen Ländern installierte. Ein Kunde reichte das am 7. Juni ein, und noch am selben Tag wurden interne Warninformationen an den Hersteller weitergegeben. Als Gegenargument wurde zunächst eine „Änderung in transit“ genannt; die späteren Analysen widersprachen dem, weil die betroffenen Systeme die Daten über HTTPS direkt von den eigenen Servern abholten und der Updateprozess selbst die präparierte Paketkette in den Ordner zog. Mitte Juli sei außerdem ein Zeitfenster in Echtzeit von Monitoring-Signalen erfasst worden, wodurch die direkte Auslieferung aus der Herstellerinfrastruktur plausibel wurde. Wie die Angreifer Zugriff auf die Update-Server erhielten, bleibt laut den Berichten offen.
Für Betreiber folgt daraus ein klarer Handlungslogik-Shift: Ein behobener Server bedeutet nicht automatisch, dass bereits infizierte Maschinen „geradegezogen“ sind. Der zentrale Punkt ist, dass der Ablauf lokal nach dem Setup wieder auf den authentischen Inhalt zurückschreibt, sodass die Endpunkte scheinbar normal wirken und zudem die Hersteller-Downloadseite nach außen wieder sauber aussieht. Deshalb lautet der operative Kern: Man sollte die gepufferten Dateien in den Backupper-eigenen lokalen Ordnern sichern und nicht nur die aktuelle Downloadoberfläche prüfen. Außerdem raten die Teams zu einer Jagd über das längere Zeitfenster von April bis Juli, weil die Auswirkung an die jeweiligen Abrufzeitpunkte gekoppelt war. Auf dem Endpunkt gilt es insbesondere, nach geplanten Aufgaben und typischen Laufpfaden zu suchen, etwa nach einer Komponente, die als RadminComponentRuntime oder NitroRuntime bezeichnet wird, nach einem „upgrade-now.exe“-artigen Artefakt ohne entsprechende kryptografische Signaturlogik und nach einem Ordner, in dem Angreiferdateien unterhalb des lokalen Radmin-Anwendungsbereichs abgelegt wurden. Im Netzwerk empfiehlt sich, die von den Berichten genannten Infrastrukturdaten zu blockieren sowie ausgehenden SMB (TCP 445) und WebDAV-Verbindungen zu externen Zielen zu unterbinden, um die Credential-Weitergabe über den WebDAV-Schritt zu stoppen.
Für die strategische Bewertung zeigt der Fall, warum „Zeitfenster-Angriffe“ in der Incident Response neue Denkweisen erzwingen. Wenn ein Updateprozess nur für fünf bis zehn Minuten pro Kampagnenfenster manipuliert wird, reicht es oft nicht, nach späteren Dateisignaturen oder nach aktuellen Serverinhalten zu suchen. Stattdessen braucht es eine Auswertung der Ereignisse rund um den exakten Update-Check: Welche Inhalte wurden zu welchem Zeitpunkt abgerufen, welche geplanten Aufgaben wurden danach erzeugt und welche Downstream-Module haben sich aus Nebenpfaden wie DLL-Sideloading heraus geladen? Genau diese Kombinationslogik – Update-Mechanismus, Ausführungssteuerung, Tokenabfluss über unsichtbare WebDAV-Interaktionen und danach persistente Implant-Funktion – macht die Attacke so relevant für Unternehmen, die Backup- und Disk-Cloning-Software als „vertrauenswürdige Basis“ behandeln. Gerade weil hier keine klassische Schwachstelle nach außen sichtbar ausgenutzt werden musste, sollten Sicherheits-Teams Lieferkettenrisiken stärker als Prozessrisiken betrachten: als Risiken, die in Update-, Pop-up- und Planungslogik entstehen und nicht nur in der eigentlichen Anwendung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AOMEI Backupper: Angreifer manipulierten Update-Server für Minuten und lieferten Backdoor aus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AOMEI Backupper: Angreifer manipulierten Update-Server für Minuten und lieferten Backdoor aus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AOMEI Backupper: Angreifer manipulierten Update-Server für Minuten und lieferten Backdoor aus« bei Google Deutschland suchen, bei Bing oder Google News!