AnswersPublished21 sources
Útočníci zneužili aktualizace AOMEI Backupper. Samotná oprava serverů ale počítače nevyčistí
Útočníci mezi dubnem a červencem 2026 krátce pozměňovali aktualizační infrastrukturu AOMEI Backupper a šířili přes ni malware včetně zadních vrátek SHINYROAD. ManageEngine zaznamenal podezřelou aktivitu 28.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Útočníci mezi dubnem a červencem 2026 krátce pozměňovali aktualizační infrastrukturu AOMEI Backupper a šířili přes ni malware včetně zadních vrátek SHINYROAD.
- ManageEngine zaznamenal podezřelou aktivitu 28. května a v červnu na ni upozornil AOMEI.
- Obnovení původních souborů na serveru neznamená, že jsou čisté i počítače zákazníků.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Útočníci mezi dubnem a červencem 2026 krátkodobě zasahovali do aktualizační infrastruktury AOMEI Backupper a šířili malware včetně zadních vrátek SHINYROAD. Výzkumníci potvrdili tři takové epizody, které trvaly deset, šest a pět minut. Upozornili ale, že další zásahy mohly uniknout jejich pozornosti.17
35
11 To, že server později opět nabízel legitimní soubory, samo o sobě neznamená, že je počítač zákazníka bez malwaru.
5
9
Jak se na útok přišlo
Bezpečnostní software ManageEngine zaznamenal podezřelou aktivitu 28. května. Backupper tehdy nainstaloval legitimní nástroj pro vzdálenou správu Radmin na počítače dvou nesouvisejících zákazníků v různých zemích. ManageEngine uvedl, že AOMEI varoval v červnu. Google Threat Intelligence Group a Mandiant následně aktivitu vyšetřovaly spolu s ManageEngine a útočníky označily jako UNC7017. Výzkumníci tuto skupinu veřejně nepřiřadili ke konkrétní zemi.16
17
40
Server The Record 20. října informoval, že AOMEI uvedla, že dosud neidentifikovala zákazníky nakažené při útoku ani je neupozornila.16
Jak útočníci zneužili aktualizace
Podle výzkumníků útočníci pozměnili dva konfigurační soubory na serverech AOMEI: down_html.ini a Notifycfg.ini. Soubory se podílely na aktualizacích a upozorněních v Backupperu. Pokud se program připojil během aktivního zásahu, upravená konfigurace ho mohla nasměrovat na škodlivý obsah.17
7
Potvrzené epizody nastaly 28. května, 16. července a 20. července a trvaly deset, šest a pět minut. Poté útočníci vrátili původní soubory. Výzkumníci se domnívají, že mohlo dojít i k dalším zásahům, které nezachytili. Tři známé termíny proto nepředstavují úplný přehled možného ohrožení.35
11
Součástí řetězce malwaru byl program CROSSROAD, který rozbalil další škodlivé soubory a nastavil naplánovanou úlohu spouštěnou každé tři hodiny. Podepsaný program Radmin pak načetl škodlivou knihovnu DLL, která spustila zadní vrátka SHINYROAD. Ta umožňovala vzdálený přístup k příkazovému řádku a spouštění příkazů.35
33
Co víme o dopadu — a co zůstává nejasné
Mezi zasaženými organizacemi byly podle zpráv firmy z oblasti IT služeb, telekomunikací a vysokého školství, a to ve více než deseti zemích.40 Dostupné informace neuvádějí celkový počet napadených zařízení ani organizací. Krátká okna pro šíření malwaru a možnost dalších nezachycených zásahů navíc znamenají, že pouze podle potvrzených termínů nelze rozsah ohrožení spolehlivě odhadnout.
11
16
CROSSROAD také kontroloval prostředí a polohu zařízení. Podle zveřejněných informací se na systémech, jejichž poloha byla určena jako Čína, vyhýbal hlavní cestě ke spuštění dalšího nákladu.1
9 Dostupné podklady ale nestačí k potvrzení všech podrobností o dalších případných výjimkách či chování malwaru.
Co mají uživatelé Backupperu udělat
Organizace, které Backupper používaly mezi dubnem a červencem 2026, by měly prověřit příslušné počítače za celé toto období, nejen v termínech tří potvrzených epizod. Kampaň trvala několik měsíců a další zásahy mohly zůstat nezaznamenané.2
11
Prověrka by se měla zaměřit na případný malware i na jeho přetrvávání v napadených počítačích. Obnovení legitimních souborů na serveru dodavatele neodstraní škodlivý kód, který už se do zařízení dostal.5
9 O to důležitější je to vzhledem ke zprávě z 20. října, podle níž AOMEI dosud nakažené zákazníky neidentifikovala ani neupozornila.
16
Tento případ ukazuje, proč jsou kompromitované aktualizační kanály nebezpečné: škodlivá aktivita může přijít prostřednictvím programu, který zákazník už používá a kterému důvěřuje. V tomto případě útočníci podle výzkumníků využili také podepsaný program Radmin k načtení škodlivé knihovny DLL.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Útočníci zneužili aktualizace AOMEI Backupper. Samotná oprava serverů ale počítače nevyčistí"?
Útočníci mezi dubnem a červencem 2026 krátce pozměňovali aktualizační infrastrukturu AOMEI Backupper a šířili přes ni malware včetně zadních vrátek SHINYROAD.
What are the key points to validate first?
Útočníci mezi dubnem a červencem 2026 krátce pozměňovali aktualizační infrastrukturu AOMEI Backupper a šířili přes ni malware včetně zadních vrátek SHINYROAD. ManageEngine zaznamenal podezřelou aktivitu 28. května a v červnu na ni upozornil AOMEI.
What should I do next in practice?
Obnovení původních souborů na serveru neznamená, že jsou čisté i počítače zákazníků.