Zwischen April und Juli 2026 haben Unbekannte die Update-Systeme von AOMEI Backupper missbraucht. Sie verteilten Schadsoftware, auch in der Schweiz gab es Betroffene. Die Täter passten sogar die Prüfsumme an und verwischten ihre Spuren. Wer die Software einsetzt, sollte seine Systeme jetzt auf verdächtige Aktivitäten prüfen.
Zwischen April und Juli 2026 lieferte die Update-Funktion von AOMEI Backupper Schadsoftware aus. Auch Organisationen in der Schweiz traf es. Dieser Beitrag zeigt, was passiert ist und was Du jetzt prüfen solltest.
Das Wichtigste in Kürze
- Die Update-Infrastruktur wurde manipuliert. Unbekannte änderten zwei Konfigurationsdateien auf den Servern des Herstellers.
- Schweizer Organisationen waren betroffen. Der Zeitraum reicht von April bis Juli 2026.
- Die Server-Absicherung entfernt keine Malware. Wer die Software einsetzt, muss seine Rechner selbst prüfen.
- Erkennungsmerkmale liegen vor. Google Mandiant und Manageengine haben die Untersuchung geführt.
So liefen die Angriffe auf AOMEI Backupper ab
Netzwoche hat die Meldung am 20. Oktober 2026 veröffentlicht. Die Quelle nennt kein späteres Aktualisierungsdatum. Sie stützt sich auf einen Bericht von BleepingComputer.
Die Täter griffen die Server des Herstellers an. Dort veränderten sie zwei Konfigurationsdateien. Die Software lud daraufhin Schadcode herunter und führte ihn aus. Die Nutzer mussten dafür nichts tun.
Dabei passten die Angreifer auch die hinterlegte Prüfsumme an. Das manipulierte Paket bestand deshalb die Dateiprüfung der Software.
Zudem arbeiteten sie leise. Bei drei nachgewiesenen Angriffen im Mai und Juli stellten sie die ursprünglichen Dateien nach fünf bis zehn Minuten wieder her. Das erschwerte den Nachweis. Erst eine laufende Überwachung der AOMEI-Server machte die Eingriffe sichtbar.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Zeitraum der Angriffe | April bis Juli 2026 | Rechner, die in dieser Zeit Updates holten, sind verdächtig |
| Nachgewiesene Angriffe | 3 (Mai und Juli) | Nur diese Fälle konnten die Forschenden direkt belegen |
| Dauer der Manipulation | fünf bis zehn Minuten | Ein kurzes Fenster erschwerte den Nachweis |
| Meldung an AOMEI | Anfang Juni 2026 | Die Forschenden warnten den Hersteller früh |
Welche Schadsoftware zum Einsatz kam
Die Forschenden fanden mehrere Werkzeuge der Täter:
- Crossroad: ein Downloader, der weitere Schadsoftware nachlädt.
- Shinyroad: eine Hintertür. Sie nutzt Teile der Fernwartungssoftware Radmin, um Verbindungen zu den Servern der Täter aufzubauen.
- NTLM-Hashes: Bei einem Angriff im Juli versuchten die Täter, diese Prüfwerte von Windows-Anmeldedaten abzugreifen.
Damit ging es nicht nur um einen Einzelrechner. Gestohlene Anmeldedaten können den Weg ins restliche Netz öffnen. Die Quelle nennt dazu aber keine Fälle. Ob der Versuch im Juli gelang, ist offen.
Was der Hersteller sagt und was offen bleibt
Die Forschenden informierten AOMEI Anfang Juni. Der Hersteller erklärte später, er habe seine Server aktualisiert und mögliche Schwachstellen behoben. Der Technikchef leite eine interne Untersuchung.
Offen bleibt, wie die Täter überhaupt Zugriff erhielten. Ebenso ist unklar, ob AOMEI den Vorfall vollständig bereinigt hat. Beides gilt laut Quelle als ungeklärt.
Deshalb ist die Warnung der Forschenden wichtig. Die Absicherung der Server entfernt keine Software, die schon auf einem Rechner läuft. Wer in der Zeit von April bis Juli aktualisiert hat, muss selbst nachsehen. Die Merkmale zur Erkennung findest Du im Bericht der Forschenden.
Übrigens ist das kein Einzelfall. Auch beim Texteditor Notepad++ haben Angreifer den Update-Prozess manipuliert. Update-Wege sind ein beliebtes Ziel.
Einordnung: Was das für Admins in der Schweiz heisst
Wer AOMEI Backupper einsetzt, sollte die Rechner jetzt prüfen. Der Zeitraum von April bis Juli 2026 ist der Ausgangspunkt. Eine Frist nennt die Quelle nicht, daher gilt: je früher, desto besser. Die Prüfung mit den veröffentlichten Merkmalen kostet vor allem Arbeitszeit. Fällt etwas auf, sind auch Windows-Anmeldedaten ein Thema, weil die Täter es auf NTLM-Hashes abgesehen hatten. Backup-Software läuft oft mit weitreichenden Rechten. Das erhöht den Schaden, wenn sie missbraucht wird.
Fazit
Du weisst jetzt, wie die Täter vorgingen und wonach Du suchen musst. Der nächste Schritt ist klar: Prüfe Deine Systeme mit den Erkennungsmerkmalen und kläre, ob AOMEI Backupper in Deinem Netz läuft. Verfolge zudem, was der Hersteller zur Ursache meldet. Die Meldung von Netzwoche bietet einen guten Einstieg.
Quellen: Netzwoche. Foto: Bru-nO / Pixabay. Stand: 21. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.