🔍 Contexte

Publié le 16 octobre 2026 par le Google Threat Intelligence Group (GTIG) et Mandiant, cet article détaille une campagne de compromission de chaîne d’approvisionnement logicielle ciblant l’infrastructure de mise à jour d’AOMEI Technology entre avril et juillet 2026. La découverte initiale est attribuée au ManageEngine Threat Analysis Lab (METAL) de Zoho Corporation.

🎯 Acteur et victimologie

L’activité est attribuée au cluster UNC7017. Les secteurs impactés incluent :

  • Services IT
  • Télécommunications
  • Enseignement supérieur

Les pays touchés comprennent l’Australie, le Brésil, l’Inde, le Pakistan, le Portugal, Singapour, l’Afrique du Sud, l’Espagne, la Suisse, la Turquie et les États-Unis. La victimologie est opportuniste : tout système interrogeant les serveurs de mise à jour pendant une fenêtre active était exposé.

⚙️ Mécanisme d’attaque

UNC7017 a exploité le mécanisme de mise à jour légitime d’AOMEI Backupper et AnyViewer en modifiant deux fichiers de configuration distants :

  • down_html.ini : redirige le téléchargement vers une archive ZIP malveillante
  • Notifycfg.ini : force l’exécution immédiate du payload téléchargé

Les fenêtres de tampering observées :

  • 28 mai : 10 minutes (05:40–05:50 UTC)
  • 16 juillet : 6 minutes (08:33–08:39 UTC)
  • 20 juillet : 5 minutes (10:35–10:40 UTC)

À l’issue de chaque fenêtre, les fichiers étaient restaurés à leur version légitime, rendant l’analyse post-incident très difficile.

🦠 Chaîne de malwares

CROSSROAD (downloader, Stage 2) :

  • Valide l’environnement (géolocalisation, mutex)
  • Abandonne l’exécution si le pays est « CN » (Chine)
  • Télécharge et décompresse le payload Stage 3
  • Crée une tâche planifiée RadminComponentRuntime
  • Se supprime via renommage en ADS :wtfbbq

SHINYROAD (backdoor modulaire, Stage 3) :

  • Chargé via DLL search-order hijacking (BlkScrDl.dll dans FamItrfc.exe)
  • Utilise un interpréteur PocketPy embarqué pour exécuter du bytecode Python chiffré (ChaCha20)
  • Communication C2 sur TCP 41397 et 443
  • Génère du trafic leurre (traffic chaffing)

ADAPTAGENT (post-exploitation, Stage 4) :

  • Framework Adaptix C2 masqué en outils Nitro PDF (NitroPromotion.exe, Eztwain4.dll)
  • Beacon toutes les 2 minutes vers 8.210.84.56:6800

🔐 Vecteur secondaire : coercition NTLM via WebDAV

Le 20 juillet, Notifycfg.ini a été modifié pour afficher une fenêtre invisible 1x1 pixels chargeant une ressource UNC (\\8.210.84.56\DavWWWRoot\campaign\24hour-flash-sale.html), provoquant une coercition d’authentification NetNTLMv2 silencieuse.

🏗️ Évolution de l’infrastructure

  1. Avril–mai 2026 : Alibaba Cloud OSS (serv.oss-cn-hongkong.aliyuncs.com)
  2. 1–7 juillet 2026 : Domaines dédiés (storage-data.com et sous-domaines)
  3. 20 juillet 2026 : Google Cloud Storage pour contourner les filtres NRD, avec storage-data.com pour le C2 secondaire

📋 Type d’article

Analyse technique approfondie publiée par GTIG/Mandiant, incluant IOCs, règles YARA, techniques MITRE ATT&CK et guidance de remédiation, destinée aux équipes SOC et CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • UNC7017 (unknown) —

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1583.006 — Acquire Infrastructure: Web Services (Resource Development)
  • T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1559.001 — Inter-Process Communication: Component Object Model (Execution)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1574.001 — Hijack Execution Flow: DLL Search Order Hijacking (Defense Evasion)
  • T1480 — Execution Guardrails (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Resource Name or Location (Defense Evasion)
  • T1027.013 — Obfuscated Files or Information: Encrypted/Encoded File (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1564.004 — Hide Artifacts: NTFS File Attributes (Defense Evasion)
  • T1187 — Forced Authentication (Credential Access)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1614 — System Location Discovery (Discovery)
  • T1082 — System Information Discovery (Discovery)
  • T1033 — System Owner/User Discovery (Discovery)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1571 — Non-Standard Port (Command and Control)
  • T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)
  • T1001.001 — Data Obfuscation: Junk Data (Command and Control)
  • T1219.002 — Remote Access Tools: Remote Desktop Software (Command and Control)

IOC

  • IPv4 : 8.210.84.56 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 8.218.65.184 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 47.239.60.117 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 96.126.191.98 — AbuseIPDB · VT · ThreatFox
  • Domaines : promotion.storage-data.com — VT · URLhaus · ThreatFox
  • Domaines : aomei.storage-data.com — VT · URLhaus · ThreatFox
  • Domaines : storage-data.com — VT · URLhaus · ThreatFox
  • Domaines : serv.oss-cn-hongkong.aliyuncs.com — VT · URLhaus · ThreatFox
  • URLs : https://promotion.storage-data.com/download/abpopup/upgrade-now.zip — URLhaus
  • URLs : https://promotion.storage-data.com/config/component.zip — URLhaus
  • URLs : https://promotion.storage-data.com/config/whitelist.ini — URLhaus
  • URLs : https://promotion.storage-data.com/config/en.zip — URLhaus
  • URLs : https://storage.googleapis.com/aomeiupdate/upgrade-now.zip — URLhaus
  • URLs : https://storage.googleapis.com/aomeiupdate/component.zip — URLhaus
  • SHA256 : 6670ab3f0434a42f33416f8354150b1701e7615f3cfa2f1635e54f8df0f6 — VT · MalwareBazaar
  • SHA256 : 11e576df44e9c9eef72b9f5b699291bcdb200a19130778ec231e5b0987b9 — VT · MalwareBazaar
  • SHA256 : 9a58e8f49edf5644e5728f74cf36f560d3d486fa51db4db69d927963c7aca450 — VT · MalwareBazaar
  • SHA256 : b360b6db0c2b668317edc1504a7c39ef047f0d925c8f113b521f6724c157 — VT · MalwareBazaar
  • SHA256 : 9ed503c6a9a3a493fb859401e9ed469eed77ab9927341964d6dbfbfa625 — VT · MalwareBazaar
  • SHA256 : d167bc898e856da8a4003cb4dfc7de55fea109eee3cd64fc899971031410 — VT · MalwareBazaar
  • SHA256 : 8fbaa74b27dc1e89abfc694e834378746f0ad37a688098c5f8f511410157 — VT · MalwareBazaar
  • SHA256 : 5837bc26a73cfb46ffd466cf889f03ce2f6a48f1f3fd42ec8be22189d51 — VT · MalwareBazaar
  • SHA256 : 4c0a75e0f62ddc0bb350c224fe996f3b2ab08dcb0d288231c61ffe9406c7 — VT · MalwareBazaar
  • SHA256 : 4b4d25b3501519476f9a62a88a781e4f446f669280eb5e98c6b96eb6d374 — VT · MalwareBazaar
  • SHA256 : d7cfa659d224928e7b72c806dcf2169594d993ecf6422e6efcdcf251190f — VT · MalwareBazaar
  • SHA256 : 14b31918075e6130b9123158743db0a81e2d7bfcf6d39731ee7d9200a98 — VT · MalwareBazaar
  • SHA256 : 8c8090aca8ddb1cf968d2b810457e0cfce97c03cd721f70d2eca7f37f268 — VT · MalwareBazaar
  • SHA256 : 7b252be444dee2fb2a57043a823dc5b5e1fae970aea91ee2c8339aa70329 — VT · MalwareBazaar
  • SHA256 : 924ad92d89dde577d5858b2ebc5703a485467842d78e98b75019b2e2e0ac3fe6 — VT · MalwareBazaar
  • SHA256 : d2f9ef2429312667f0512504b6a19ba4a9cc5514f1b2933923dd42f75a1c5934 — VT · MalwareBazaar
  • SHA256 : 286e0d8c7bdfaa7c251a3e8f0f2fefbe25c67586c0149d39b1095c89dc6023c8 — VT · MalwareBazaar
  • SHA256 : f2a7d0a4c8613a9cdd31ede6131b27040c0571ca97970b245a710191806d7ac4 — VT · MalwareBazaar
  • MD5 : EE89C99F3753231771170F5D9CBBAE1E — VT · MalwareBazaar
  • MD5 : 31323E7E738230FA6A8DEEF2B7894666 — VT · MalwareBazaar
  • MD5 : BF73C4391B58CA95220CE3AE03F66DCF — VT · MalwareBazaar
  • Fichiers : upgrade-now.zip
  • Fichiers : upgrade-now.exe
  • Fichiers : component.zip
  • Fichiers : en.zip
  • Fichiers : BlkScrDl.dll
  • Fichiers : RuntimeComponent.dll
  • Fichiers : config.zip
  • Fichiers : metadata.dat
  • Fichiers : NitroPromotion.exe
  • Fichiers : Eztwain4.dll
  • Fichiers : abe.exe
  • Fichiers : rsetup64.exe
  • Fichiers : FamItrfc.exe
  • Fichiers : FamItrf2.exe
  • Fichiers : axmlx.
  • Chemins : %LOCALAPPDATA%\Radmin\FamItrfc.exe
  • Chemins : %LOCALAPPDATA%\Radmin\BlkScrDl.dll
  • Chemins : %LOCALAPPDATA%\Radmin\csvc\RuntimeComponent.dll
  • Chemins : %LOCALAPPDATA%\Radmin\config.zip
  • Chemins : %LOCALAPPDATA%\Nitro Pro\Eztwain4.dll
  • Chemins : %LOCALAPPDATA%\Nitro Pro\NitroPromotion.exe
  • Chemins : %LOCALAPPDATA%\Temp\NitroPromotion

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 19 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • CROSSROAD (loader)
  • SHINYROAD (backdoor)
  • ADAPTAGENT (framework)
  • Adaptix C2 (framework)
  • Radmin Server (rat)

🟢 Indice de vérification factuelle : 95/100 (haute)

  • ✅ cloud.google.com — source reconnue (liste interne) (20pts)
  • ✅ 43333 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 57 IOCs dont des hashes (15pts)
  • ✅ 5/12 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 25 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UNC7017 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 8.210.84.56 (ip) → VT (11/92 détections) + ThreatFox (AdaptixC2)
  • 47.239.60.117 (ip) → VT (3/92 détections)
  • promotion.storage-data.com (domain) → VT (8/92 détections)
  • aomei.storage-data.com (domain) → VT (8/92 détections)
  • storage-data.com (domain) → VT (7/92 détections)

🔗 Source originale : https://cloud.google.com/blog/topics/threat-intelligence/investigating-ephemeral-supply-chain-tampering/?hl=en