AnswersPublished21 sources
AOMEI Backuppers opdateringskanal blev kompromitteret: Det ved vi
Angribere manipulerede AOMEI Backuppers opdateringsservere i korte perioder mellem april og juli 2026 og brugte dem til at sprede CROSSROAD og bagdøren SHINYROAD. ManageEngine opdagede mistænkelig aktivitet den 28.
Udgivet afRedigeret med GPT-6 LunaBilleder genereret med GPT Image 2
Research answer
Key takeaways
- Angribere manipulerede AOMEI Backuppers opdateringsservere i korte perioder mellem april og juli 2026 og brugte dem til at sprede CROSSROAD og bagdøren SHINYROAD.
- ManageEngine opdagede mistænkelig aktivitet den 28. maj og advarede AOMEI i juni.
- At serverens filer siden er blevet gendannet, betyder ikke, at en computer er fri for malware.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Angribere manipulerede AOMEI Backuppers opdateringsinfrastruktur i en kampagne fra april til juli 2026. De korte indgreb blev brugt til at levere malware, herunder bagdøren SHINYROAD. Forskerne bekræftede tre tilfælde, der varede henholdsvis ti, seks og fem minutter, men advarede om, at andre perioder kan være overset.17
35
11 At opdateringsserveren igen ser normal ud, udelukker ikke, at malware allerede er installeret på en brugers computer.
5
9
Sådan blev kampagnen opdaget
ManageEngines sikkerhedssoftware til overvågning af enheder opdagede mistænkelig aktivitet den 28. maj. Backupper havde installeret det legitime fjernadministrationsværktøj Radmin på to kunders computere i forskellige lande. ManageEngine oplyste, at virksomheden advarede AOMEI i juni. Senere undersøgte Google Threat Intelligence Group og Mandiant aktiviteten sammen med ManageEngine og fulgte angriberne under betegnelsen UNC7017. De tilgængelige oplysninger knytter ikke gruppen til et bestemt land.16
17
40
Den 20. oktober skrev The Record, at AOMEI havde oplyst, at virksomheden endnu ikke havde identificeret eller underrettet de kunder, der var blevet inficeret i angrebet.16
Sådan blev opdaterings- og notifikationssystemerne misbrugt
Ifølge forskerne ændrede angriberne to konfigurationsfiler på serverne: down_html.ini og Notifycfg.ini. Filerne indgik i Backuppers opdaterings- og notifikationsprocesser. Hvis programmet kontaktede serveren, mens filerne var ændret, kunne det blive sendt videre til skadeligt indhold.17
7
De tre bekræftede perioder var den 28. maj, 16. juli og 20. juli. De varede henholdsvis ti, seks og fem minutter. Angriberne gendannede efterfølgende de legitime filer. Forskerne vurderer, at der kan have været flere indgreb, end de nåede at observere. De tre datoer bør derfor ikke betragtes som en komplet liste over mulige eksponeringer.35
11
Malwareforløbet omfattede CROSSROAD, et program, der hentede og pakkede en samling filer ud og oprettede en planlagt opgave, som skulle køre hver tredje time. En signeret Radmin-fil indlæste derefter en skadelig DLL, som startede SHINYROAD. Bagdøren kunne give mulighed for fjernadgang via en kommandolinje og for at udføre kommandoer.35
33
Hvad ved man om omfanget – og hvad er stadig uklart?
Rapporteringen nævner berørte organisationer inden for blandt andet it-tjenester, telekommunikation og videregående uddannelse i mere end ti lande.40 De tilgængelige oplysninger fastslår ikke det samlede antal inficerede enheder eller organisationer. De korte perioder, hvor serverne var ændret, og advarslen om muligvis oversete indgreb gør det desuden svært at opgøre den samlede eksponering ud fra de bekræftede datoer alene.
11
16
CROSSROAD foretog også kontroller af blandt andet computerens miljø og placering. Ifølge rapporteringen undlod programmet at fortsætte med sin primære payload på systemer, der blev geolokaliseret til Kina.1
9 De tilgængelige oplysninger giver ikke et tilstrækkeligt grundlag for at fastslå alle mulige undtagelser eller bekræfte andre påståede funktioner.
Hvad bør Backupper-brugere gøre?
Organisationer, der brugte Backupper fra april til juli 2026, bør undersøge relevante computere for hele perioden – ikke kun for aktivitet på de tre bekræftede datoer. Kampagnens samlede tidsramme og muligheden for oversete indgreb betyder, at datoerne ikke kan bruges til at afvise risiko på andre tidspunkter.2
11
Undersøg, om der allerede ligger malware eller vedvarende adgang på enhederne. At de legitime filer er gendannet på leverandørens server, fjerner ikke et implantat, der allerede er installeret på en computer.5
9 Det er særligt relevant, fordi AOMEI ifølge omtalen den 20. oktober endnu ikke havde identificeret eller underrettet de berørte kunder.
16
Angrebet viser, hvorfor kompromitterede opdateringskanaler kan være alvorlige: Skadelig aktivitet kan komme gennem software, som brugeren allerede har installeret og har tillid til. I dette tilfælde brugte malwareforløbet også en signeret Radmin-fil til at indlæse en skadelig DLL.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AOMEI Backuppers opdateringskanal blev kompromitteret: Det ved vi"?
Angribere manipulerede AOMEI Backuppers opdateringsservere i korte perioder mellem april og juli 2026 og brugte dem til at sprede CROSSROAD og bagdøren SHINYROAD.
What are the key points to validate first?
Angribere manipulerede AOMEI Backuppers opdateringsservere i korte perioder mellem april og juli 2026 og brugte dem til at sprede CROSSROAD og bagdøren SHINYROAD. ManageEngine opdagede mistænkelig aktivitet den 28. maj og advarede AOMEI i juni.
What should I do next in practice?
At serverens filer siden er blevet gendannet, betyder ikke, at en computer er fri for malware.