Qué ha pasado entre abril y julio
Google Threat Intelligence Group (GTIG) y Mandiant han publicado una investigación sobre una intrusión en la infraestructura de actualización de AOMEI Technology, el fabricante de Backupper y AnyViewer. La actividad se desarrolló entre abril y julio de 2026 y fue atribuida al clúster UNC7017. El hallazgo no describe un fallo de memoria ni una vulnerabilidad con CVE: los operadores modificaron archivos de configuración alojados en servidores legítimos del proveedor.
La particularidad estuvo en la duración: cada cambio permaneció activo entre cinco y diez minutos antes de que los archivos auténticos volvieran a ocupar su sitio. GTIG identifica tres ventanas confirmadas, el 28 de mayo y los días 16 y 20 de julio. Un equipo podía obtener una respuesta limpia mientras otro descargaba un paquete malicioso.
La telemetría de ManageEngine detectó la cadena en dos organizaciones sin relación de proveedor compartida. La investigación conjunta identificó entidades de servicios informáticos, telecomunicaciones y educación superior en once países, entre ellos España, Australia, Brasil, India, Portugal y Estados Unidos.
La confianza estaba en dos archivos de configuración
AOMEI Backupper ejecuta servicios en segundo plano que consultan por HTTPS la infraestructura del fabricante para obtener actualizaciones y contenidos promocionales. Uno de los archivos indica la versión, el paquete que debe descargarse y el valor MD5 con el que el cliente espera validarlo. El otro controla el contenido que muestra el componente de notificaciones y puede hacer que una página se abra dentro de la aplicación.
El problema no fue que el programa aceptara cualquier archivo sin comprobarlo. El problema fue dónde estaba la comprobación: el cliente no autenticaba criptográficamente los archivos de configuración y el checksum viajaba dentro del mismo archivo no autenticado que decidía qué paquete descargar. Quien controlara temporalmente esa respuesta podía cambiar a la vez la URL, la versión anunciada y el valor esperado.
ManageEngine describe el resultado como un abuso del flujo normal de contenido promocional, no como una explotación del sistema operativo. Las rutas de descarga y notificación convergían en el directorio de recursos, donde un ejecutable no correspondía al uso legítimo pero podía ser lanzado por la propia aplicación.