AOMEI Backupper : des mises à jour piégées cet été. Êtes-vous concerné ?
Si vous avez suivi notre cours « Mettre ses données à l’abri », vous connaissez bien AOMEI Backupper : c’est le logiciel gratuit que nous utilisons pour programmer la sauvegardeCopie de sécurité de ses fichiers importants (photos, docume... automatique de vos dossiers (leçon 7), sauvegarder tout le PC (leçon 8) et vérifier qu’on sait restaurer un fichier (leçon 10).
Or on vient d’apprendre que, cet été, des pirates ont réussi à glisser un logiciel malveillant dans les mises à jour de ce logiciel. Pas de panique : si vous avez installé AOMEI en suivant le cours, vous n’êtes pas concerné. Voici ce qui s’est passé, qui doit vérifier son ordinateur, et comment le faire en cinq minutes.
Ce qui s’est passé : un livreur remplacé pendant quelques minutes
Comme la plupart des logiciels, AOMEI Backupper consulte régulièrement les serveurs de son éditeur pour savoir s’il existe une mise à jour ou une information à vous afficher. C’est un peu comme un livreur qui passe vérifier chez vous si vous avez besoin de quelque chose.
Des pirates ont pris le contrôle de ces serveurs et, pendant de très courtes fenêtres, ont remplacé le colis habituel par un colis piégé. Puis ils remettaient tout en ordre, pour ne pas se faire repérer. Trois fenêtres ont été confirmées par les chercheurs en sécurité de Google et de ManageEngine :
| Date | Durée |
|---|---|
| 28 mai 2026 | 10 minutes |
| 16 juillet 2026 | 6 minutes |
| 20 juillet 2026 | 5 minutes |
Un ordinateur qui a interrogé les serveurs pendant ces quelques minutes a pu recevoir, sans aucun clic de l’utilisateur, un programme espion permettant aux pirates d’en prendre le contrôle à distance. Le logiciel de prise en main à distance AnyViewer, du même éditeur, partageait le même système et a pu être touché aussi.
Les victimes identifiées sont surtout des entreprises (services informatiques, télécoms, universités) dans onze pays, dont l’Espagne et la Suisse. La France n’est pas citée, mais rien ne permet de l’exclure.
Fin juillet, AOMEI a déclaré avoir corrigé et sécurisé ses serveurs. Aucune nouvelle fenêtre de piratage n’a été signalée depuis.
Vous avez suivi notre cours ? Vous pouvez rester serein
Le cours « Mettre ses données à l’abri » a été publié le 18 octobre 2026, soit près de trois mois après la dernière fenêtre connue (20 juillet) et après la correction des serveurs par AOMEI.
– ✅ Vous avez installé AOMEI Backupper en suivant le cours, depuis le site officiel comme indiqué dans la leçon 7 : vous n’étiez pas équipé du logiciel pendant les fenêtres de piratage. Vous n’êtes pas concerné, et vous pouvez continuer à suivre le cours normalement.
– ⚠️ Vous utilisiez déjà AOMEI Backupper ou AnyViewer avant cet été, et votre ordinateur était allumé entre fin mai et fin juillet 2026 : le risque est faible (quelques minutes seulement en trois mois), mais il vaut mieux vérifier votre PC. C’est l’affaire de cinq minutes.
Attention à une idée reçue : mettre AOMEI à jour aujourd’hui ne suffit pas. La correction des serveurs empêche de nouvelles infections, mais elle ne retire pas un programme espion déjà installé.
Pas à pas : vérifier son ordinateur en cinq minutes
Fonctionne sous Windows 11 et Windows 10. Vous ne risquez rien : on regarde, on ne modifie rien.
Le programme espion s’installe en se programmant pour démarrer tout seul, sous la forme d’une tâche planifiée au nom bien précis. C’est elle que nous allons chercher.
1. Cliquez sur Démarrer, tapez Planificateur de tâches, puis cliquez sur le résultat du même nom.
2. Dans la colonne de gauche, cliquez sur Bibliothèque du Planificateur de tâches.
3. Au centre, la liste des tâches s’affiche. Cliquez sur l’en-tête de colonne Nom pour la trier par ordre alphabétique.
4. Parcourez la liste à la recherche de ces deux noms : RadminComponentRuntime et NitroRuntime.
5. Fermez le Planificateur de tâches.
Une seconde vérification, tout aussi simple :
1. Ouvrez l’Explorateur de fichiers (l’icône en forme de dossier jaune).
2. Cliquez dans la barre d’adresse, en haut, tapez %LOCALAPPDATA% puis appuyez sur Entrée.
3. Regardez s’il existe un dossier nommé Radmin ou Nitro Pro.
✅ Aucun de ces noms n’apparaît ? Votre ordinateur ne montre pas les traces connues de cette attaque. Vous pouvez continuer à utiliser AOMEI Backupper comme d’habitude, en le gardant à jour.
⚠️ Vous avez trouvé l’un de ces noms ? Ne paniquez pas, et procédez dans l’ordre :
1. Débranchez l’ordinateur d’Internet (câble réseau, ou Wi-Fi désactivé).
2. Lancez une analyse hors ligne de l’antivirus intégré à Windows : Démarrer › Sécurité Windows › Protection contre les virus et menaces › Options d’analyse › Analyse hors ligne de Microsoft Defender › Analyser maintenant. L’ordinateur redémarre et s’analyse en profondeur (une quinzaine de minutes).
3. Changez vos mots de passe importants (messagerie, banque, impôts…) depuis un autre appareil, votre téléphone par exemple, et activez la double authentificationSécurité supplémentaire pour un compte en ligne : en plus du... là où c’est possible.
4. Faites-vous aider par un professionnel ou un proche à l’aise avec l’informatique : un programme espion peut laisser d’autres traces.
Zone technique — pour les curieux et les passionnés
🤓 Pour aller plus loin : comment l’attaque a fonctionné
C’est une attaque de la chaîne d’approvisionnement (supply chain attack) : plutôt que de viser chaque utilisateur, on empoisonne la source à laquelle tous font confiance. Le précédent le plus célèbre reste SolarWinds en 2020.
Les attaquants, suivis sous le nom UNC7017 par Google (GTIG et Mandiant) et par l’équipe METAL de ManageEngine, ne touchaient pas aux installateurs : ils modifiaient deux fichiers de configuration sur les serveurs d’AOMEI. down_html.ini, qui indique où télécharger les paquets, pointait vers une archive ZIP malveillante, dont l’empreinte attendue (checksum) était elle aussi modifiée pour passer la vérification. Notifycfg.ini, qui pilote les notifications et promotions affichées par le logiciel, servait à déclencher l’exécution automatique : une page HTML locale lançait un exécutable non signé, upgrade-now.exe, noyé parmi 232 fichiers promotionnels.
La chaîne d’infection : un téléchargeur inédit, CROSSROAD, qui s’installe en tâche planifiée puis s’efface, puis une porte dérobée, SHINYROAD, qui détourne un exécutable Radmin légitime et signé pour charger une DLL malveillante (DLL side-loading). À partir de mi-juillet, une variante déployait le framework Adaptix C2 sous le nom NitroPromotion.exe. Le 20 juillet, une fenêtre invisible forçait aussi l’accès à une ressource WebDAV pour récupérer les empreintes NetNTLMv2 de la session Windows.
Côté éditeur, la réaction a été lente : alerté le 7 juin par ManageEngine, AOMEI a d’abord évoqué une interception en transit, avant d’annoncer des mesures correctives le 29 juillet. On ignore toujours comment les pirates sont entrés. Et certains analystes notent que la façon dont le logiciel vérifie ses mises à jour ne semble pas avoir changé : à suivre de près.
Ce que cette affaire nous apprend
On a souvent tendance à penser que le danger vient de logiciels douteux téléchargés sur des sites obscurs. Ici, c’est un logiciel sérieux, téléchargé au bon endroit, qui a été trahi par son propre circuit de mises à jour. Personne n’est à l’abri de ce genre d’incident, ni les éditeurs, ni nous.
C’est justement pour cela que notre cours insiste sur deux réflexes :
– Toujours télécharger un logiciel depuis le site officiel de l’éditeur (leçon 7) : c’est ce qui vous met à l’abri des versions trafiquées circulant ailleurs, et c’est ce qui vous a permis d’installer une version saine.
– Ne jamais dépendre d’une seule copie : c’est tout le sens de la règle 3-2-1 (leçon 5). Une copie hors de chez soi (leçon 9), débranchée de l’ordinateur, reste intacte quoi qu’il arrive au PC, même s’il est infecté.
Pour l’instant, nous continuons à recommander AOMEI Backupper dans le cours : l’incident est corrigé, aucune nouvelle attaque n’a été signalée, et il reste l’un des rares outils gratuits simples pour sauvegarder sur disque externe. Nous suivons l’affaire, et nous mettrons le cours à jour si la situation change.
👉 Pas encore suivi le cours ? Mettre ses données à l’abri : la sauvegarde de son PC Windows est gratuit, en 11 courtes leçons.
Et vous, quel logiciel utilisez-vous pour vos sauvegardes ? Avez-vous fait la vérification ?
Sources : IT-Connect, BleepingComputer, CyberInsider
