الإجاباتمنشور21 المصادر
اختراق تحديثات AOMEI Backupper: ما الذي حدث وما الذي ينبغي للمستخدمين فحصه؟
استغل المهاجمون نوافذ قصيرة للتلاعب بخوادم تحديث AOMEI Backupper بين أبريل ويوليو 2026، ووزعوا برمجية CROSSROAD والباب الخلفي SHINYROAD. رصدت ManageEngine نشاطًا مريبًا في 28 مايو، وأبلغت AOMEI في يونيو.
نشر بواسطةتم التحرير باستخدام GPT-6 Lunaتم إنشاء الصور باستخدام GPT Image 2
إجابة البحث
الوجبات السريعة الرئيسية
- استغل المهاجمون نوافذ قصيرة للتلاعب بخوادم تحديث AOMEI Backupper بين أبريل ويوليو 2026، ووزعوا برمجية CROSSROAD والباب الخلفي SHINYROAD.
- رصدت ManageEngine نشاطًا مريبًا في 28 مايو، وأبلغت AOMEI في يونيو. وحققت Google Threat Intelligence Group وMandiant في الحملة، وتتبعوا المهاجمين تحت الاسم UNC7017.[16][17]
- إعادة ملفات الخادم إلى حالتها الأصلية لا تثبت خلو الأجهزة من البرمجيات الخبيثة. على المؤسسات التي استخدمت Backupper خلال الفترة المعنية فحص أجهزتها، لا الاكتفاء بالتواريخ المؤكدة.[5][11]
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
تعرّضت بنية تحديث AOMEI Backupper للتلاعب خلال حملة امتدت من أبريل إلى يوليو 2026، واستغل المهاجمون فترات وجيزة لتوزيع برمجيات خبيثة، بينها الباب الخلفي SHINYROAD. وأكد الباحثون وقوع ثلاث حوادث تلاعب استمرت عشر دقائق وست دقائق وخمس دقائق، مع التنبيه إلى احتمال حدوث فترات أخرى لم تُرصد.17
35
11 لذلك، فإن عودة خادم التحديث إلى الملفات السليمة لا تعني بالضرورة أن البرمجيات الخبيثة لم تُثبّت بالفعل على أجهزة المستخدمين.
5
9
كيف كُشفت الحملة؟
رصدت برمجية أمن الأجهزة الطرفية التابعة لـManageEngine نشاطًا مريبًا للمرة الأولى في 28 مايو، عندما ثبّت Backupper أداة الإدارة عن بُعد الشرعية Radmin على جهازي حاسوب تابعين لعميلين لا صلة بينهما وفي بلدين مختلفين. وقالت ManageEngine إنها أبلغت AOMEI في يونيو. وفي وقت لاحق، حققت Google Threat Intelligence Group وMandiant في النشاط بالتعاون مع ManageEngine، وأطلقتا على المهاجمين اسم UNC7017. ولا تنسب المعلومات المنشورة المجموعة إلى بلد بعينه.16
17
40
وفي 20 أكتوبر، أفاد موقع The Record بأن AOMEI قالت إنها لم تكن قد حددت بعد العملاء المصابين بالهجوم أو أخطرتهم.16
كيف استُغلت أنظمة التحديث والإشعارات؟
أفاد الباحثون بأن المهاجمين عدّلوا ملفي إعدادات على الخوادم، هما down_html.ini وNotifycfg.ini، وكانا جزءًا من آليات التحديث والإشعارات في Backupper. وعندما اتصل البرنامج بالخادم خلال إحدى فترات التلاعب، كان من الممكن أن توجهه الإعدادات المعدّلة إلى محتوى خبيث.17
7
الفترات المؤكدة كانت في 28 مايو و16 يوليو و20 يوليو، واستمرت عشر دقائق وست دقائق وخمس دقائق على التوالي. وبعدها أعاد المهاجمون الملفات الأصلية. ويرجّح الباحثون أن عمليات تلاعب أخرى ربما حدثت من دون أن تُرصد؛ لذا لا تمثل هذه التواريخ الثلاثة بالضرورة جميع فترات التعرض المحتملة.35
11
تضمنت سلسلة الإصابة برمجية CROSSROAD، وهي أداة تنزيل فكّت حزمة حمولة خبيثة وأنشأت مهمة مجدولة تعمل كل ثلاث ساعات. ثم استُخدم ملف تنفيذي شرعي وموقّع تابع لـRadmin لتحميل مكتبة DLL خبيثة، ومنها جرى تحميل SHINYROAD، وهو باب خلفي يتيح تنفيذ الأوامر والوصول إلى سطر أوامر عن بُعد.35
33
ما المعروف عن الأثر، وما الذي لا يزال غير واضح؟
حددت التقارير مؤسسات متضررة في قطاعات تشمل خدمات تقنية المعلومات والاتصالات والتعليم العالي، وفي أكثر من عشرة بلدان.40 لكن الأدلة المتاحة لا تحدد العدد الإجمالي للأجهزة أو المؤسسات المصابة. كما أن قِصر فترات التوزيع واحتمال وجود فترات أخرى لم تُرصد يجعلان التواريخ المؤكدة أساسًا غير كافٍ لتقدير نطاق التعرض بالكامل.
11
16
وأجرت CROSSROAD أيضًا فحوصًا مرتبطة ببيئة تشغيلها وموقع الجهاز؛ وتشير التقارير إلى أنها كانت تتجنب المسار الرئيسي لتشغيل الحمولة على الأجهزة التي تحدد موقعها الجغرافي في الصين.1
9 ولا تقدم المعلومات المتاحة تفاصيل موثوقة كافية لإثبات جميع الاستثناءات المحتملة أو تأكيد سلوكيات أخرى مزعومة.
ما الذي ينبغي لمستخدمي Backupper فعله؟
ينبغي للمؤسسات التي استخدمت Backupper بين أبريل ويوليو 2026 فحص الأجهزة ذات الصلة على امتداد الفترة كلها، لا الاقتصار على التواريخ الثلاثة المؤكدة. فالحملة استمرت ضمن إطار زمني أوسع، وقد تكون فترات تلاعب إضافية قد مرت من دون رصد.2
11
ويجب أن يشمل الفحص البحث عن البرمجيات الخبيثة وآليات الاستمرارية الموجودة على الأجهزة. فاستعادة الملفات الشرعية على خادم المورّد لا تزيل برمجية خبيثة ربما ثُبّتت مسبقًا على جهاز المستخدم.5
9 وتزداد أهمية ذلك في ضوء تقرير 20 أكتوبر الذي أفاد بأن AOMEI لم تكن قد حددت بعد العملاء المصابين أو أخطرتهم.
16
توضح الحملة خطورة اختراق قنوات تحديث البرامج: فقد يصل النشاط الخبيث عبر برنامج يستخدمه العملاء ويثقون به. وفي هذه الحالة، أفاد الباحثون بأن سلسلة البرمجيات الخبيثة استعانت أيضًا بملف Radmin تنفيذي موقّع لتحميل مكتبة DLL خبيثة.17
33
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "اختراق تحديثات AOMEI Backupper: ما الذي حدث وما الذي ينبغي للمستخدمين فحصه؟"؟
استغل المهاجمون نوافذ قصيرة للتلاعب بخوادم تحديث AOMEI Backupper بين أبريل ويوليو 2026، ووزعوا برمجية CROSSROAD والباب الخلفي SHINYROAD.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
استغل المهاجمون نوافذ قصيرة للتلاعب بخوادم تحديث AOMEI Backupper بين أبريل ويوليو 2026، ووزعوا برمجية CROSSROAD والباب الخلفي SHINYROAD. رصدت ManageEngine نشاطًا مريبًا في 28 مايو، وأبلغت AOMEI في يونيو. وحققت Google Threat Intelligence Group وMandiant في الحملة، وتتبعوا المهاجمين تحت الاسم UNC7017.[16][17]
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
إعادة ملفات الخادم إلى حالتها الأصلية لا تثبت خلو الأجهزة من البرمجيات الخبيثة. على المؤسسات التي استخدمت Backupper خلال الفترة المعنية فحص أجهزتها، لا الاكتفاء بالتواريخ المؤكدة.[5][11]