AOMEI Backupper Technician Plus 8.4.0 with Activator

GENIO, IDOLO

Your current Pro version installer link is wrong version. It’s still 8.3 and it should be 8.5

Damn son of a bitch all your fucking links are full of unbearable adds

Activator doesn’t work with 6.8.0 like it used to. Same issue as Yiwei.

AOMEI_Backupper_v8-Activator_v2-oval2003.rar
File
puoi controllare il codice e dirmi se è un virus?

Sì: io tratterei questo file come malware e non lo eseguirei. L’ho analizzato senza avviare nessun eseguibile, e in questo caso gli indizi sono molto più forti del normale “falso positivo perché è una crack”.

Ho scompattato anche il contenuto nascosto dell’EXE. I punti principali sono questi:

L’EXE principale Activator_AOMEI_Backupper_v2.exe ha SHA-256
2018276745591a2cfa364436a39280a6efb393b879da12db86e302be1bd75d33.
Hybrid Analysis trova esattamente questo campione e lo classifica malicious, con Threat Score 100/100, rilevamento AV del 19% e 241 indicatori.
Gridinsoft trova lo stesso identico SHA-256 e lo identifica come Trojan.Win32.Agent.sa. Inoltre conferma che l’eseguibile non ha una firma digitale valida.
L’EXE è in realtà un 7-Zip SFX che nasconde altri tre file: start.exe, Activator_AOMEI_Backupper.exe e KillDuplicate.cmd. Il suo script interno estrae tutto in una directory temporanea, esegue start.exe e poi cancella i file estratti.
Il vero Activator_AOMEI_Backupper.exe interno ha SHA-256
f0d040b96f573118e2f275ccc60cc389ea1edb5b7ea62729429938a6029e3ce1.
Questo identico hash compare nel database di EnigmaSoft tra i campioni conosciuti di Trojan.Bitcoinminer.B.
Questo secondo EXE è compresso con UPX, non è firmato e richiede esplicitamente privilegi di amministratore. L’uso di UPX da solo non significa malware, ma serve anche a rendere più difficile l’analisi statica.
start.exe è invece un programma .NET. Dal codice/metadata che ho estratto contiene una GUI chiamata “Activator AOMEI Backupper”, genera dati crittografici ECDSA e richiama .\Activator_AOMEI_Backupper.exe. Questo comportamento è compatibile con un keygen/attivatore e non è di per sé la parte che mi preoccupa maggiormente.
KillDuplicate.cmd, preso isolatamente, non sembra malware: usa tasklist, taskkill e rd per evitare istanze duplicate e rimuovere la cartella temporanea.
Il README è un altro campanello d’allarme: proviene da cracksurl.com, invita esplicitamente a mettere la crack nella whitelist dell’antivirus e rimanda al loro canale Telegram.
Manalyzer rileva inoltre nell’EXE esterno overlay nascosto e API per creazione/esecuzione di processi, file temporanei e controllo dei privilegi. Questi indicatori da soli non sarebbero sufficienti, perché parte di essi appartiene al modulo 7-Zip SFX; li considero quindi indizi secondari, non la prova principale.
Come interpreto queste fonti

Il dato più importante non è che “un antivirus ha detto Trojan”. Le crack ricevono spesso rilevamenti generici per come modificano licenze e programmi. Qui, però, abbiamo l’hash esatto del tuo file, non semplicemente un file con lo stesso nome, classificato malevolo da servizi di analisi indipendenti; soprattutto, il payload che ho estratto personalmente dal tuo archivio ha un secondo hash esatto già catalogato come campione di Trojan.Bitcoinminer.B.

Per questo la mia conclusione è: non vale la pena rischiare e non lo considererei un falso positivo affidabile. Eliminerei il RAR e non aggiungerei assolutamente l’attivatore alle esclusioni di Defender.

Se l’hai già eseguito, dimmelo: in quel caso possiamo controllare insieme il tuo Windows con comandi mirati per processi, servizi, attività pianificate, avvio automatico e Defender. Come prima verifica farei anche una Analisi di Microsoft Defender Offline; Microsoft stessa la indica come l’analisi più completa quando si teme un’esposizione a malware, perché viene eseguita dopo il riavvio fuori dalla normale sessione Windows.

Se avevi aggiunto questo file alle Minacce consentite, va anche rimosso da lì: Microsoft specifica che gli elementi consentiti non vengono più bloccati finché non si seleziona “Non consentire”