AntwortenVeröffentlicht21 Quellen
AOMEI Backupper: Was über den Angriff bekannt ist – und was Nutzer prüfen sollten
Zwischen April und Juli 2026 manipulierten Angreifer kurzzeitig AOMEI Backuppers Update Infrastruktur und verbreiteten darüber unter anderem den Downloader CROSSROAD und die Hintertür SHINYROAD. ManageEngine entdeckte am 28.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- Zwischen April und Juli 2026 manipulierten Angreifer kurzzeitig AOMEI Backuppers Update Infrastruktur und verbreiteten darüber unter anderem den Downloader CROSSROAD und die Hintertür SHINYROAD.
- ManageEngine entdeckte am 28. Mai verdächtige Aktivitäten und warnte AOMEI im Juni.
- Saubere Serverdateien bedeuten nicht, dass betroffene Rechner frei von Schadsoftware sind.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Angreifer manipulierten zwischen April und Juli 2026 wiederholt die Update-Infrastruktur von AOMEI Backupper. Über kurze Zeitfenster konnten sie Schadsoftware verbreiten, darunter die Hintertür SHINYROAD. Forschende bestätigten drei solcher Eingriffe von zehn, sechs und fünf Minuten. Weitere könnten unentdeckt geblieben sein.17
35
11 Dass die Serverdateien anschließend wiederhergestellt wurden, schließt eine Infektion bereits betroffener Rechner nicht aus.
5
9
Wie der Angriff auffiel
ManageEngine entdeckte am 28. Mai verdächtige Aktivitäten: Backupper installierte auf den Rechnern zweier voneinander unabhängiger Kunden in unterschiedlichen Ländern das legitime Fernwartungsprogramm Radmin. ManageEngine zufolge warnte das Unternehmen AOMEI im Juni. Google Threat Intelligence Group und Mandiant untersuchten den Vorfall später gemeinsam mit ManageEngine. Sie führen die Angreifer unter der Bezeichnung UNC7017; die vorliegenden Berichte ordnen sie keinem Land zu.16
17
40
Am 20. Oktober berichtete The Record, AOMEI habe erklärt, noch keine infizierten Kunden identifiziert oder benachrichtigt zu haben.16
So wurde der Update- und Benachrichtigungsweg missbraucht
Die Angreifer veränderten laut Forschenden zwei Konfigurationsdateien auf den Servern von AOMEI: down_html.ini und Notifycfg.ini. Die Dateien waren in Backuppers Update- und Benachrichtigungsabläufe eingebunden. Wenn das Programm während eines Manipulationsfensters eine Verbindung herstellte, konnten die geänderten Einstellungen es zu schädlichen Inhalten führen.17
7
Bestätigt wurden Eingriffe am 28. Mai, 16. Juli und 20. Juli. Sie dauerten zehn, sechs beziehungsweise fünf Minuten. Danach stellten die Angreifer die legitimen Dateien wieder her. Die Forschenden halten weitere, nicht beobachtete Manipulationen für möglich. Die drei bekannten Zeitfenster sind daher keine vollständige Liste möglicher Infektionszeitpunkte.35
11
Zur Schadsoftware-Kette gehörte CROSSROAD. Der Downloader entpackte ein Paket und richtete eine geplante Aufgabe ein, die alle drei Stunden ausgeführt werden sollte. Eine legitime, digital signierte Radmin-Datei lud anschließend über eine manipulierte DLL die Hintertür SHINYROAD. Diese konnte unter anderem eine Remote-Shell und die Ausführung von Befehlen ermöglichen.35
33
Was über die Folgen bekannt ist – und was offenbleibt
Betroffene Organisationen wurden unter anderem in den Bereichen IT-Dienstleistungen, Telekommunikation und Hochschulbildung in mehr als zehn Ländern gemeldet.40 Wie viele Geräte und Organisationen insgesamt infiziert wurden, lässt sich anhand der verfügbaren Informationen nicht abschließend bestimmen. Weil weitere Manipulationsfenster unentdeckt geblieben sein könnten, reichen die bestätigten Daten auch nicht aus, um das Ausmaß der möglichen Betroffenheit genau einzugrenzen.
11
16
CROSSROAD prüfte außerdem bestimmte Merkmale seiner Ausführungsumgebung und des Standorts. Berichten zufolge setzte die Schadsoftware ihren hauptsächlichen Ladepfad auf Systemen nicht fort, die geografisch China zugeordnet wurden.1
9 Die vorliegenden Informationen reichen jedoch nicht aus, um sämtliche möglichen Ausschlüsse oder weitere behauptete Verhaltensweisen als bestätigt darzustellen.
Was Backupper-Nutzer jetzt tun sollten
Organisationen, die Backupper zwischen April und Juli 2026 eingesetzt haben, sollten relevante Rechner über den gesamten Zeitraum untersuchen – nicht nur Systeme, die an den drei bestätigten Tagen aktiv waren. Da die Kampagne diesen längeren Zeitraum umfasste und weitere Eingriffe möglich sind, schließen die bekannten Daten eine Infektion zu einem anderen Zeitpunkt nicht aus.2
11
Bei der Untersuchung sollte gezielt nach bereits installierter Schadsoftware und dauerhaften Ausführungsmechanismen auf den Endgeräten gesucht werden. Dass die Dateien auf dem Anbieter-Server wieder legitim sind, entfernt keinen bereits installierten Schädling.5
9 Das ist auch deshalb wichtig, weil AOMEI laut einem Bericht vom 20. Oktober infizierte Kunden zu diesem Zeitpunkt noch nicht identifiziert oder benachrichtigt hatte.
16
Der Vorfall zeigt, warum manipulierte Update-Kanäle so folgenreich sein können: Schadsoftware kann über Programme ankommen, die Nutzer bereits verwenden und denen sie vertrauen. In diesem Fall setzte die gemeldete Angriffskette zudem eine signierte Radmin-Datei ein, um eine schädliche DLL zu laden.17
33
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „AOMEI Backupper: Was über den Angriff bekannt ist – und was Nutzer prüfen sollten“?
Zwischen April und Juli 2026 manipulierten Angreifer kurzzeitig AOMEI Backuppers Update Infrastruktur und verbreiteten darüber unter anderem den Downloader CROSSROAD und die Hintertür SHINYROAD.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Zwischen April und Juli 2026 manipulierten Angreifer kurzzeitig AOMEI Backuppers Update Infrastruktur und verbreiteten darüber unter anderem den Downloader CROSSROAD und die Hintertür SHINYROAD. ManageEngine entdeckte am 28. Mai verdächtige Aktivitäten und warnte AOMEI im Juni.
Was soll ich als nächstes in der Praxis tun?
Saubere Serverdateien bedeuten nicht, dass betroffene Rechner frei von Schadsoftware sind.