AOMEI Backupper distribuyó malware desde su canal de avisos: cómo comprobar tu PC

A quién afecta y qué comprobar primero

Si utilizabas AOMEI Backupper en Windows entre abril y julio de 2026, actualiza tu programa de seguridad y realiza un análisis del equipo. El ataque llegó a través de las comprobaciones que hacía la propia aplicación para recibir contenido y promociones: podía activarse con el programa en funcionamiento, sin aceptar una instalación nueva.

Google Threat Intelligence Group y Mandiant publicaron la investigación el 15 de octubre de 2026. Identificaron organizaciones afectadas en España y otros diez países. ManageEngine, que detectó inicialmente la actividad, observó la cadena en equipos con Backupper 8.3.0 y versiones posteriores.

El mismo sistema de avisos da servicio a AnyViewer, el programa de escritorio remoto de AOMEI, aunque los investigadores no han confirmado infecciones por esa vía. Estas son las comprobaciones que puedes hacer en Windows:

1. Abre Inicio, escribe Programador de tareas y entra en la Biblioteca del Programador de tareas.
2. Busca tareas llamadas RadminComponentRuntime o NitroRuntime. Los investigadores las identificaron como mecanismos para mantener activo el código malicioso.
3. Si te manejas con las carpetas de instalación, revisa las subcarpetas html y Tmphtml de AOMEI Backupper en busca de un upgrade-now.exe sin firma o un upgrade-now.zip inesperado.
4. Si aparecen señales sospechosas, pide ayuda al equipo informático de tu empresa o a un técnico de confianza. Si sospechas que el ordenador sigue comprometido, desconéctalo de internet mientras recibes asistencia.

Malwarebytes confirmó el 19 de octubre de 2026 que su motor detecta el descargador malicioso. Este archivo se borraba después de preparar la infección, por lo que no encontrarlo no garantiza que el equipo esté limpio.

Qué cambiaron los atacantes

Backupper sirve para hacer copias de seguridad, clonar discos y recuperar datos. Sus procesos consultaban dos archivos alojados en la infraestructura de AOMEI: uno indicaba qué paquete descargar; el otro controlaba los avisos y el contenido que mostraba la aplicación.

Los atacantes modificaron esos archivos para apuntar a un paquete preparado por ellos. También cambiaron la versión esperada y la suma de comprobación MD5, el valor utilizado para verificar la integridad de la descarga. Así, el paquete malicioso superaba las comprobaciones del cliente.

El contenido promocional incluía un ejecutable que se iniciaba automáticamente desde la carpeta de la aplicación. ManageEngine explica que esta cadena aprovechó el funcionamiento del canal de promociones, sin necesitar una vulnerabilidad de ejecución de código.

Por qué el servidor podía parecer limpio

Las modificaciones duraban unos minutos. Después, los atacantes devolvían los archivos a su estado original. Google confirmó estas ventanas:

Una comprobación posterior de la dirección de descarga podía devolver contenido legítimo. Por eso Google recomienda conservar los archivos que recibió el ordenador y revisar los registros de red correspondientes al momento de la alerta.

Qué podía hacer la infección

El primer componente, CROSSROAD, preparaba la instalación de SHINYROAD, una puerta trasera capaz de recibir órdenes y ejecutar código. La tarea RadminComponentRuntime se configuraba para arrancar componentes cada tres horas. En fases posteriores también se observó código malicioso camuflado como herramientas de Nitro PDF.

Google identificó además un mecanismo para forzar el envío de material de autenticación de Windows a infraestructura del atacante. Es decir, la infección podía exponer también las credenciales de Windows, no solo los archivos.

AOMEI comunicó a los investigadores que había tomado medidas correctoras en su infraestructura. ManageEngine advierte que reparar el servidor no elimina una infección que ya haya llegado al ordenador. Si encuentras alguna de las tareas o archivos sospechosos, conserva esos datos y entrégalos a quien revise el equipo.