Contexte de l'attaque
Selon les informations publiées, des acteurs malveillants ont intercepté les serveurs de mise à jour d'AOMEI Backupper, un logiciel de sauvegarde grand public, pendant quelques minutes. Cette brève fenêtre d’accès a permis l’injection d’un composant malveillant destiné à créer une porte dérobée sur les machines qui ont téléchargé la mise à jour compromise.
Mécanisme d’injection du backdoor
Le processus d’injection repose sur la confiance implicite que les utilisateurs accordent aux serveurs officiels. En modifiant les fichiers d’installation hébergés, les attaquants ont pu insérer un chargeur capable d’établir une connexion sortante vers un serveur de commande et contrôle. Aucun détail n’a été fourni sur le type de chargeur (exécutable, DLL, script) ni sur les protocoles de communication employés, mais le principe reste identique à d’autres compromissions d’infrastructure de mise à jour.
Implications pour la sécurité des utilisateurs
Une fois le backdoor installé, l’attaquant peut potentiellement exécuter du code arbitraire, accéder aux données sauvegardées ou modifier les points de restauration. La courte durée de la compromission (quelques minutes) montre que même un accès limité à l’infrastructure de distribution peut suffire à toucher un nombre important d’utilisateurs, du fait du modèle de diffusion « push » des mises à jour. Cette situation souligne l’importance de la signature cryptographique des paquets et de la vérification de l’intégrité côté client.
Recommandations et mesures d’atténuation
En l’absence de précisions supplémentaires, les meilleures pratiques restent applicables : vérifier que les mises à jour sont signées, activer les mécanismes de vérification d’empreinte (hash) et surveiller les connexions sortantes inhabituelles après une installation. Les éditeurs doivent renforcer la chaîne d’approvisionnement en limitant les accès aux serveurs de mise à jour et en implémentant une authentification à facteurs multiples pour les opérations de déploiement. Les utilisateurs, quant à eux, sont invités à télécharger les dernières versions depuis le site officiel et à désactiver les mises à jour automatiques si la provenance n’est pas clairement attestée.
