Des pirates ont détourné les mises à jour d'AOMEI Backupper pour diffuser une porte dérobée entre mai et juillet 2026.

Une attaque contre la chaîne d’approvisionnement logicielle vise AOMEI Backupper, un programme de sauvegarde pour Windows. Entre mai et juillet 2026, des attaquants ont modifié à plusieurs reprises des fichiers hébergés sur les serveurs de mise à jour de l’éditeur. Résultat : certains utilisateurs ont téléchargé, puis exécuté, une porte dérobée au lieu d’une simple mise à jour.

Ce scénario est particulièrement sournois. En effet, la victime n’a rien d’inhabituel à faire. Il suffisait que le logiciel recherche une mise à jour au mauvais moment.

Une attaque par fenêtres de cinq à dix minutes

Les pirates n’ont pas laissé les fichiers piégés en ligne durablement. Ils ont agi par courtes fenêtres, de cinq à dix minutes chacune. Ces interventions se sont répétées sur une période allant de mai à juillet 2026.

Pendant ces créneaux, les fichiers proposés par les serveurs officiels n’étaient plus ceux de l’éditeur. Toute copie de l’application qui interrogeait le serveur à ce moment recevait donc le contenu malveillant. Le logiciel l’exécutait ensuite comme une mise à jour légitime.

Cette méthode présente un avantage évident pour l’attaquant. Une exposition aussi brève réduit les chances de détection. Par ailleurs, elle limite le nombre de machines touchées, mais elle cible uniquement celles qui sont réellement actives à cet instant.

Pourquoi la compromission d’AOMEI Backupper est préoccupante

Un outil de sauvegarde occupe une place très sensible dans un système. Il lit de nombreuses données et fonctionne souvent avec des droits élevés. Par conséquent, une porte dérobée installée par ce biais peut offrir un accès précieux à l’attaquant.

De plus, la source de l’infection est ici le canal officiel. Les utilisateurs ont toutes les raisons de lui faire confiance. Un antivirus ou un administrateur n’a pas de raison évidente de bloquer un téléchargement provenant du domaine de l’éditeur.

Autrement dit, la défense habituelle, qui consiste à ne télécharger que depuis des sources fiables, ne suffit plus. Le piège se trouve dans la source elle-même.

Un mécanisme de mise à jour devenu vecteur d’attaque

Les fonctions de mise à jour automatique sont pratiques. Cependant, elles reposent sur une confiance totale dans le serveur de distribution. Si l’attaquant en prend le contrôle, il peut distribuer son code à tous les clients qui se connectent.

Les attaques de ce type ne sont pas nouvelles. Elles restent néanmoins efficaces, car elles contournent bien des contrôles classiques. La vérification de l’intégrité des fichiers devient alors une barrière essentielle.

Les acteurs cités dans ce dossier

Les noms de Google Threat Intelligence Group, de Mandiant et de l’équipe Threat Analysis de ManageEngine sont associés à cette affaire. Ces équipes comptent parmi les acteurs reconnus de l’analyse des menaces. Leur implication témoigne du sérieux de l’incident.

À ce stade, les informations disponibles ne permettent pas de détailler l’ensemble de la chaîne d’infection. On ne sait pas non plus précisément combien de postes ont été touchés. Il convient donc de rester prudent sur l’ampleur réelle de la campagne.

Toutefois, un point est établi. Les modifications ont eu lieu sur l’infrastructure de l’éditeur et non sur un site tiers. C’est ce qui rend l’incident aussi inquiétant.

Comment réagir face à cet incident

Les utilisateurs d’AOMEI Backupper ne doivent pas minimiser le risque. Surtout si leur logiciel a vérifié des mises à jour entre mai et juillet 2026. Dans ce cas, une vérification approfondie du poste s’impose.

D’abord, il faut examiner l’historique des mises à jour et des installations sur la période concernée. Ensuite, il est utile de rechercher des processus, des tâches planifiées ou des connexions réseau inhabituels. Enfin, les équipes de sécurité peuvent surveiller les communications sortantes émises par le logiciel ou ses composants.

Il est également conseillé de se référer aux communications officielles de l’éditeur et des chercheurs. Ils pourront fournir des indicateurs de compromission précis. Ces éléments permettent de confirmer ou d’écarter une infection.

Ce qu’il faut retenir

• Des attaquants ont altéré, par fenêtres de cinq à dix minutes, les fichiers servis par les serveurs de mise à jour d’AOMEI Backupper.
• Les interventions se sont étalées de mai à juillet 2026.
• Toute copie du logiciel ayant vérifié une mise à jour pendant ces créneaux a pu récupérer et exécuter une porte dérobée.
• Google Threat Intelligence Group, Mandiant et l’équipe Threat Analysis de ManageEngine sont cités dans ce dossier.
• Les organisations doivent contrôler les postes concernés, surveiller le trafic sortant et suivre les indicateurs publiés.
• Plus largement, il est prudent de restreindre les droits des outils de sauvegarde et de valider l’intégrité des mises à jour, par exemple via des signatures numériques.

Source : Attackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor