Qué hacer
esta semana 17 de octubre de 2026
alta · global

UNC7017 alteró por minutos las actualizaciones de AOMEI Backupper

Entre mayo y julio de 2026, un actor que Google Threat Intelligence Group (GTIG) rastrea como UNC7017 alteró dos archivos de configuración en los servidores de actualización de AOMEI Backupper y AnyViewer durante ventanas de 5 a 10 minutos, tres veces confirmadas. Cualquier cliente que consultara actualizaciones en ese lapso podía descargar un downloader (CROSSROAD) que instalaba un backdoor (SHINYROAD) escondido dentro de una copia troyanizada de la herramienta de acceso remoto Radmin.

Esta semana — prioridad 1

Inventariar todos los hosts con AOMEI Backupper o AnyViewer instalado, incluyendo instalaciones de usuarios individuales y de proveedores de servicios gestionados, y ejecutar las reglas de este artículo sobre ese inventario. esfuerzo bajo · cis 1.1 · iso27001 A.5.9
Restringir salida SMB (445) y WebDAV externo en el perímetro, incluido el fallback HTTP del servicio WebClient, para reducir la exposición a coerción de autenticación NTLM. esfuerzo medio · attack M1037 · cis 12.2 · iso27001 A.8.20
Revisar logs de proxy/DNS retenidos para las tres fechas de manipulación confirmadas (28 may, 16 jul, 20 jul de 2026, horario UTC) antes de que la retención expire. esfuerzo bajo · cis 8.1 · iso27001 A.8.15

Este mes — prioridad 2

Enrutar actualizaciones de software de terceros a través de un sistema de distribución gestionado y deshabilitar actualizadores nativos cuando el proveedor no pueda confirmar firma de metadatos de actualización. esfuerzo medio · attack M1033 · cis 2.3 · iso27001 A.8.19
Configurar application allowlisting que valide la firma de cada DLL cargada en tiempo de ejecución, no solo la del ejecutable principal. esfuerzo alto · attack M1038 · cis 2.7 · iso27001 A.8.19

Indicadores a bloquear

Tipo	Indicador
scheduled_task	RadminComponentRuntime
scheduled_task	NitroRuntime
filename	BlkScrDl.dll
filename	RuntimeComponent.dll
filename	upgrade-now.exe
path	%LOCALAPPDATA%\Radmin\
path	%LOCALAPPDATA%\Nitro Pro\
config_file	down_html.ini
config_file	Notifycfg.ini

Qué necesitas tener logueado

Sysmon Event ID 1 (creación de proceso) y 7 (carga de imagen/DLL)
Windows Security Event ID 4698 (creación de tarea programada)
Microsoft Defender for Endpoint: DeviceProcessEvents, DeviceImageLoadEvents
Logs de proxy/DNS con URL completa y hash de respuesta para dominios de actualización de software
Telemetría de EDR con linaje de proceso (necesaria porque el dropper se autoelimina)

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/aomei-backupper-actualizaciones-manipuladas-shinyroad-backdoor/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.