AOMEI Backupper misbrugt: Falsk opdatering lagde bagdør på pc'er

Backupprogrammet AOMEI Backupper blev i foråret og sommeren 2026 brugt til at lægge en bagdør på Windows-pc'er. Angriberne hackede ikke selve programmet. De ændrede i stedet de filer, som AOMEI Backupper henter fra AOMEI's egne servere for at vise beskeder om opdateringer, og fik programmet til at hente og køre skadelig kode. Det fremgår af en analyse, som sikkerhedsforskere hos ManageEngine offentliggjorde den 16. oktober i samarbejde med Googles Threat Intelligence Group (GTIG) og Mandiant.

Ifølge ManageEngine krævede angrebet ingen handling fra brugeren "beyond having the application running", altså ud over at programmet kørte. De angreb, der er dokumenteret, ramte virksomheder og organisationer. Der er ikke beskrevet private ofre, og ingen danske. Men programmet findes i en gratis udgave og bruges også på private pc'er, så har du det installeret, er det et tjek på fem minutter værd.

Sådan blev opdateringen misbrugt

AOMEI Backupper henter jævnligt to små konfigurationsfiler, down_html.ini og Notifycfg.ini, fra AOMEI. De styrer blandt andet de pop op-beskeder, programmet viser om nye versioner og tilbud. Ifølge ManageEngines analyse er ingen af filerne kryptografisk beskyttet, og den kontrolsum, der skal bevise, at en download er ægte, står i den samme ubeskyttede fil som adressen på downloaden. Den, der kan ændre filen, kan altså også ændre kontrolsummen.

Det var præcis det, der skete. I korte perioder pegede filerne på en pakke fra angriberne. Pop op-beskeden blev vist i et vindue på én gange én pixel, og den udløste programmet upgrade-now.exe automatisk. Bagefter blev de ægte filer lagt tilbage.

Ifølge Googles og Mandiants rapport varede ændringerne fra fem til ti minutter ad gangen:

Google tilføjer, at der sandsynligvis har været flere perioder, som forskerne ikke har set, og at de har fundet prøver af den skadelige kode helt tilbage fra slutningen af april. Google kalder gruppen bag UNC7017 og peger ikke på noget land. ManageEngine har observeret angrebet på AOMEI Backupper version 8.3.0 og nyere. Ifølge Google var også AOMEI's fjernstyringsprogram AnyViewer et mål.

Den skadelige kode var lavet til at undgå opdagelse. Den stoppede, hvis pc'ens IP-adresse lå i Kina, hvis placeringen ikke kunne bestemmes, eller hvis bestemte sikkerhedsprogrammer var installeret.

Hvad bagdøren kan

Pakken installerede blandt andet en ægte udgave af fjernstyringsprogrammet Radmin Server i mappen C:\Program Files (x86)\rserver30. Ifølge ManageEngine blev den aldrig sat op til brug. Den egentlige bagdør, som Google kalder SHINYROAD, gemte sig i stedet bag et ægte, signeret Radmin-program, FamItrfc.exe, der blev narret til at indlæse den falske fil BlkScrDl.dll. En planlagt opgave ved navn RadminComponentRuntime startede det hele igen hver tredje time.

Bagdøren kan ifølge ManageEngine køre kommandoer på pc'en, opdatere sig selv og modtage og køre ny kode. Forskerne skriver, at de observerede funktioner er "a floor, not a ceiling", altså et minimum.

Google beskriver to ting mere. Fra midten af juli lagde angriberne yderligere et værktøj på nogle pc'er, forklædt som Nitro PDF, med en planlagt opgave ved navn NitroRuntime. Og den 20. juli brugte de pop op-vinduet til at få pc'en til at forsøge at logge på en server hos angriberne. Det kan lække loginoplysninger afledt af Windows-adgangskoden, en såkaldt NetNTLMv2-hash, uden at der skal køres noget program overhovedet.

Hvem er ramt?

Google har set ofre inden for it-services, telekommunikation og højere uddannelse i 11 lande: Australien, Brasilien, Indien, Pakistan, Portugal, Singapore, Sydafrika, Spanien, Schweiz, Tyrkiet og USA. Danmark er ikke nævnt. Google kalder valget af ofre "opportunistic" og skriver, at det sandsynligvis er bredere end det, forskerne har fundet. ManageEngine opdagede angrebet hos to organisationer i hvert sit land uden nogen forbindelse til hinanden.

Ingen af rapporterne beskriver private ofre. Det betyder ikke, at private pc'er med sikkerhed går fri. Forskerne forklarer ikke, hvordan ofrene blev udvalgt: ManageEngine kalder ændringerne "highly targeted", mens Google kalder ofrevalget opportunistisk. Hvor mange pc'er der hentede pakken i de få minutter, ændringerne var aktive, er ikke oplyst.

Det siger AOMEI

ManageEngine kontaktede AOMEI den 7. juni. Ifølge ManageEngine var AOMEI's første forklaring, at indholdet var "intercepted and modified in transit", altså opsnappet og ændret undervejs. Forskerne skriver, at beviserne ikke støtter den forklaring. Mandiant kontaktede AOMEI den 17. juli, og AOMEI svarede ifølge Google den 29. juli, at virksomheden havde rettet op på sine servere.

ManageEngine skriver, at de ikke selv har kunnet bekræfte, at angrebet er stoppet. Og begge rapporter understreger det vigtigste for brugerne: En rettelse på AOMEI's servere fjerner ikke en bagdør, der allerede er lagt på en pc. Det hjælper heller ikke at opdatere AOMEI Backupper. Har pc'en fået pakken, ligger bagdøren der stadig.

Sådan tjekker du din pc

Har du aldrig haft AOMEI Backupper eller AnyViewer installeret, kan du stoppe her. Ellers så gennemgå disse punkter.

1. Se efter de planlagte opgaver. Åbn PowerShell (søg på "PowerShell" i Start-menuen), og indsæt Googles kommando:

Get-ScheduledTask -TaskName "RadminComponentRuntime","NitroRuntime" -ErrorAction SilentlyContinue | Select-Object TaskName, TaskPath, State

Kommer der intet svar, findes opgaverne ikke. Du kan også åbne Opgavestyring og se efter de to navne på listen.

2. Se efter Radmin-mapperne. Tjek, om disse mapper findes:

• C:\Program Files (x86)\rserver30
• %LOCALAPPDATA%\Radmin\ (skriv stien i Stifinderens adresselinje). Se især efter FamItrfc.exe og BlkScrDl.dll.

Bruger du selv Radmin til fjernstyring, er en Radmin-mappe ikke i sig selv et tegn på angreb. Men en Radmin-installation, du ikke kan forklare, på en pc med AOMEI, er et alvorligt tegn.

3. Se efter Nitro-mappen. Tjek %LOCALAPPDATA%\Nitro Pro\ for filerne NitroPromotion.exe og Eztwain4.dll.

4. Se i AOMEI's egen mappe. Gå til AOMEI-mappen under C:\Program Files (x86)\AOMEI\, find mappen med dit versionsnummer, og se, om der under html\upgrade-now\ ligger en fil ved navn upgrade-now.exe. Højreklik på den, vælg Egenskaber → Digitale signaturer. ManageEngine beskriver den skadelige fil som usigneret, og produktnavnet er stavet forkert: "AOMEI Update Compent".

Finder du ingenting, er det et godt tegn. Hold samtidig programmerne opdateret, også dem uden automatisk opdatering, som da 7-Zip havde et kritisk hul.

Hvis du finder noget

• Tag pc'en af nettet. Træk kablet ud, og slå wifi fra, så bagdøren ikke kan modtage kommandoer.
• Er det en arbejds-pc, så ring til it-afdelingen og lad være med at slette noget. ManageEngine anbefaler at bevare filerne i AOMEI's mapper som spor.
• Stol ikke på, at en opdatering eller afinstallation af AOMEI løser det. Bagdøren ligger uden for AOMEI-programmet og starter via sin egen planlagte opgave.
• Stol heller ikke blindt på en ren virusscanning. ManageEngine advarer mod at tage et rent resultat som bevis for, at pc'en er i orden. Den sikreste løsning på en privat pc er at tage backup af dine personlige filer og geninstallere Windows, eventuelt med hjælp fra en fagperson.
• Skift adgangskoder fra en anden enhed, du stoler på. Start med adgangskoden til Windows og din Microsoft-konto på grund af lækket af NetNTLMv2-hashen, og fortsæt med netbank, mail og andre vigtige konti.

Det er samme mønster som i andre sager, hvor angribere udnytter tilliden til kendte programmer, for eksempel da falske GitHub-sider udgav sig for 40 kendte programmer. Forskellen er, at denne gang kom pakken fra programmets egen opdateringskanal. Ligesom med de hackede Dahua-kameraer, hvor bagdøren overlevede en nulstilling, er lektien, at en ramt enhed ikke er ren, bare fordi kilden er lukket.

Konklusion

Angrebet på AOMEI Backupper er et eksempel på, at et ægte program fra en ægte producent kan blive vejen ind, uden at nogen trykker på noget. Der er ikke beskrevet private eller danske ofre, men Google har fundet ofre i 11 lande, og forskerne regner med, at det er større end det, de har set.

Har du AOMEI Backupper eller AnyViewer installeret, så lav tjekket ovenfor. Det, vi holder øje med, er om AOMEI selv går ud med en offentlig forklaring og en vejledning til brugerne, og om flere ofre kommer frem. Sker det, opdaterer vi artiklen.