Servidores de atualização do AOMEI Backupper foram sequestrados por minutos e distribuíram um backdoor para PCs Windows no mundo todo

Acaba de aparecer um dos ataques de supply chain mais inquietantes do ano, e ele não precisou de uma única falha para funcionar. Entre maio e julho de 2026, invasores reescreveram silenciosamente dois arquivos de texto nos próprios servidores de atualização da AOMEI por períodos de apenas cinco a dez minutos, e qualquer cópia do programa de backup para Windows que checasse por atualização nessa janela baixava um backdoor e o executava automaticamente. Sem malware no download, sem falha explorada, sem clique necessário, apenas um programa obedecendo à própria infraestrutura do fabricante.

Pesquisadores do Google Threat Intelligence, da Mandiant e do ManageEngine rastrearam a campanha em 11 países, incluindo o Brasil, os Estados Unidos, a Índia e Portugal, atingindo sistemas de serviços de TI, telecomunicações e ensino superior. Uma vez dentro, o payload posicionou uma cópia assinada do Radmin, instalou o implante SHINYROAD, criou uma tarefa agendada para rodar a cada três horas e depois empurrou o framework de comando e controle Adaptix disfarçado de ferramenta de PDF. A AOMEI afirma que seus servidores foram corrigidos, mas essa correção não remove nada das máquinas que já engoliram o payload.

A lição é dura e direta: confiar numa atualização só porque ela vem do fabricante não significa mais nada se esse fabricante não assina e verifica seus próprios arquivos. Reforce suas defesas, verifique o que o seu software baixa e restrinja a rede para que um fornecedor comprometido não entre direto no seu núcleo.