CyberFlash· 16 octobre 2026EN · en anglais

Ten minutes to poison an update

For a few minutes, on three separate days, the update server of the AOMEI Backupper backup software handed out a backdoor. No vulnerability involved: two unsigned settings files were enough.

Actualité du 16 octobre 2026 · 1 min 55 · 2 sources · 8 affirmations sourcées

En 30 secondes

No vulnerability was exploited: two unsigned settings files were enough to hijack the updates.
The tampering windows lasted 5 to 10 minutes: checking the server afterwards shows nothing.
Fixing the servers does not clean infected computers: look for traces from April to July 2026.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

ÉtabliFenêtres de falsification observées : 28 mai 2026 de 05:40 à 05:50 UTC (10 minutes), 16 juillet (6 minutes), 20 juillet (5 minutes) ; contenu légitime rétabli à la fin de chaque fenêtre[1][2]
ÉtabliDeux fichiers de réglages pilotent la mise à jour (down_html.ini : adresse du paquet et empreinte MD5 ; Notifycfg.ini : fenêtres affichées) ; aucun n'est authentifié et l'empreinte figure dans le fichier qui désigne le téléchargement ; aucune faille logicielle exploitée[1][2]
ÉtabliLe téléchargeur CROSSROAD installe un vrai binaire Radmin signé qui charge une DLL piégée, puis la porte dérobée SHINYROAD ; une tâche planifiée la relance toutes les trois heures[1][2]
ÉtabliLe 20 juillet, une fenêtre d'un pixel pointant vers un partage WebDAV pouvait faire envoyer l'empreinte du mot de passe Windows (NetNTLMv2) sans rien exécuter ; la récolte effective n'est pas confirmée[1][2]
ÉtabliOrganisations touchées dans 11 pays (services informatiques, télécoms, enseignement supérieur) ; ciblage opportuniste, probablement plus large que les cas identifiés[1]
ÉtabliAOMEI a déclaré avoir corrigé son infrastructure (réponse du 29 juillet selon GTIG) ; cette correction ne nettoie pas les postes déjà infectés[1][2]
InconnuIdentité du groupe UNC7017, nombre total de victimes et autres fenêtres de falsification probables restent inconnus[1][2]
ÉtabliRecommandations : rechercher d'avril à juillet 2026 la tâche RadminComponentRuntime et les DLL non signées, bloquer SMB et WebDAV vers l'extérieur ; côté éditeurs, signer les fichiers de réglages[1][2]

Transcription

On May 28, at 5:40 in the morning, the update server of a backup program quietly changes two small files. Ten minutes later, everything is back to normal. But every computer that checked for updates in that window installed a backdoor.

CyberFlash is DecodeVox's cybersecurity show. Here, we go beyond the headlines: we decode attacks, reveal how they work, and explain what they really change.

But how does an official update install spyware?

The software regularly asks the server which update to download. The answer sits in two plain text files, with no signature. The checksum meant to vouch for the package is written in that same file. So you just change the address and the checksum together: the software downloads the trapped package, and accepts it.

On the computer, a first program installs a real, signed remote admin tool, which secretly loads the backdoor. A scheduled task restarts it every three hours. On July 20, an invisible one-pixel popup could even leak the scrambled Windows password.

What we know: organizations were hit in 11 countries, and AOMEI says it fixed its servers. But that does not clean computers already infected. What we don't know: who is behind it, how many victims there are, and how many other windows went unnoticed.

Three takeaways. If you use this software, look for traces from April to July, even if today's update looks clean. Block network shares going out to the internet. And for every vendor: an update must be signed, not just checked.

An unsigned update is an open door. This time it stayed open for ten minutes, and that was enough.

To go further, find today's full edition on our website, link in the description. Subscribe to DecodeVox so you never miss our next breakdowns. And tell us in the comments: Do your apps update themselves?

Les mots de l'épisode

Supply chain: Everything a piece of software travels through to reach you: vendor, servers, updates. Hacking it reaches every customer at once.
Signature: Cryptographic proof that a file really comes from the vendor and was not changed. A checksum written next to it proves nothing.
Backdoor: Hidden program that gives an attacker remote access to the machine.
NetNTLMv2 hash: Scrambled form of a Windows password sent when connecting to a network share. It can then be cracked or replayed.

Sources