AnswersPublished21 sources
AOMEI Backupperin päivityskanavaa käytettiin haittaohjelmien levittämiseen
Hyökkääjät peukaloivat AOMEI Backupperin päivitysinfrastruktuuria lyhyinä jaksoina huhti–heinäkuussa 2026 ja levittivät CROSSROAD lataajan sekä SHINYROAD takaoven. ManageEngine havaitsi epäilyttävää toimintaa 28.
JulkaisijaMuokattu mallilla GPT-6 LunaKuvat luotu mallilla GPT Image 2
Research answer
Key takeaways
- Hyökkääjät peukaloivat AOMEI Backupperin päivitysinfrastruktuuria lyhyinä jaksoina huhti–heinäkuussa 2026 ja levittivät CROSSROAD lataajan sekä SHINYROAD takaoven.
- ManageEngine havaitsi epäilyttävää toimintaa 28. toukokuuta ja varoitti AOMEIa kesäkuussa.
- Palvelimen tiedostojen palauttaminen ei poista tietokoneelle jo asentunutta haittaohjelmaa.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Hyökkääjät peukaloivat AOMEI Backupperin päivitysinfrastruktuuria huhti–heinäkuussa 2026 ja käyttivät lyhyitä ajanjaksoja haittaohjelmien, muun muassa SHINYROAD-takaoven, levittämiseen. Tutkijat vahvistivat kolme peukalointijaksoa, jotka kestivät kymmenen, kuusi ja viisi minuuttia. He varoittivat kuitenkin, että muitakin jaksoja on saattanut jäädä havaitsematta.17
35
11 Se, että päivityspalvelin näyttää jälleen puhtaalta, ei tarkoita, ettei käyttäjän tietokoneella olisi jo haittaohjelmaa.
5
9
Miten kampanja havaittiin?
ManageEnginen päätelaitteiden tietoturvaohjelmisto havaitsi epäilyttävää toimintaa ensimmäisen kerran 28. toukokuuta. Backupper oli asentanut laillisen Radmin-etähallintatyökalun kahden toisistaan riippumattoman asiakkaan tietokoneelle eri maissa. ManageEngine kertoi varoittaneensa AOMEIa kesäkuussa. Google Threat Intelligence Group ja Mandiant tutkivat toimintaa myöhemmin yhdessä ManageEnginen kanssa ja seurasivat hyökkääjiä tunnisteella UNC7017. Lähteissä ei nimetä kampanjalle lähtömaata.16
17
40
The Record kertoi 20. lokakuuta, että AOMEI oli ilmoittanut, ettei se ollut vielä tunnistanut hyökkäyksessä saastuneita asiakkaita eikä ilmoittanut heille asiasta.16
Näin päivitys- ja ilmoitusjärjestelmiä käytettiin
Tutkijoiden mukaan hyökkääjät muuttivat kahta palvelinpuolen asetustiedostoa, down_html.ini ja Notifycfg.ini, joita Backupper käytti päivitys- ja ilmoitustoiminnoissaan. Jos ohjelma otti yhteyden palvelimeen peukaloinnin aikana, muutetut asetukset saattoivat ohjata sen haitallisen sisällön luo.17
7
Vahvistetut peukalointijaksot olivat 28. toukokuuta, 16. heinäkuuta ja 20. heinäkuuta. Ne kestivät vastaavasti kymmenen, kuusi ja viisi minuuttia. Hyökkääjät palauttivat aidot tiedostot jaksojen jälkeen. Tutkijat uskovat, että peukalointia on voinut tapahtua enemmän kuin he pystyivät suoraan havaitsemaan, joten kolmea vahvistettua tapausta ei pidä pitää täydellisenä luettelona mahdollisista altistumisajankohdista.35
11
Haittaohjelmaketjuun kuului CROSSROAD-lataaja, joka purki haitallisen paketin ja loi ajastetun tehtävän suoritettavaksi kolmen tunnin välein. Allekirjoitettu Radmin-suoritustiedosto latasi sen rinnalle asetetun haitallisen DLL-tiedoston, joka puolestaan käynnisti SHINYROAD-takaoven. Takaovi mahdollisti etäkomentotulkin käytön ja komentojen suorittamisen.35
33
Mitä vaikutuksista tiedetään – ja mitä ei?
Raportoinnissa mainitaan uhreja muun muassa IT-palveluissa, tietoliikenteessä ja korkeakoulutuksessa. Organisaatioita oli yli kymmenessä maassa.40 Käytettävissä olevat tiedot eivät kerro saastuneiden laitteiden tai organisaatioiden kokonaismäärää. Lyhyet levitysjaksot ja tutkijoiden arvio havaitsematta jääneistä tapauksista tarkoittavat, ettei altistumisen laajuutta voi päätellä vain vahvistettujen päivämäärien perusteella.
11
16
CROSSROAD tarkisti myös suoritusympäristöön ja sijaintiin liittyviä tietoja. Raportoinnin mukaan se jätti pääasiallisen haittaohjelman latausvaiheen väliin, jos järjestelmän sijainniksi määrittyi Kiina.1
9 Käytettävissä olevat lähteet eivät anna riittävästi luotettavaa tietoa kaikkien mahdollisten poikkeusten vahvistamiseen.
Mitä Backupperin käyttäjän kannattaa tehdä?
Jos organisaatiossa käytettiin Backupperia huhti–heinäkuussa 2026, asiaankuuluvat tietokoneet kannattaa tutkia koko ajanjaksolta – ei vain kolmen vahvistetun peukalointijakson ajalta. Kampanja kattoi useita kuukausia, ja muitakin peukalointikertoja on saattanut jäädä havaitsematta.2
11
Tarkistuksessa on etsittävä tietokoneille jo asentunutta haittaohjelmaa ja sen pysyvyyttä ylläpitäviä mekanismeja. Toimittajan palvelimelle palautetut alkuperäiset tiedostot eivät poista tietokoneelle jo asennettua haittaohjelmaa.5
9 Tämä on erityisen tärkeää, koska lokakuun raportin mukaan AOMEI ei ollut vielä tunnistanut saastuneita asiakkaita eikä ilmoittanut heille asiasta.
16
Tapaus havainnollistaa, miksi ohjelmistojen päivityskanavien vaarantuminen on vakavaa: haitallinen toiminta voi saapua ohjelman mukana, johon asiakas jo luottaa. Tässä tapauksessa haittaohjelmaketjussa käytettiin lisäksi allekirjoitettua Radmin-suoritustiedostoa haitallisen DLL:n lataamiseen.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AOMEI Backupperin päivityskanavaa käytettiin haittaohjelmien levittämiseen"?
Hyökkääjät peukaloivat AOMEI Backupperin päivitysinfrastruktuuria lyhyinä jaksoina huhti–heinäkuussa 2026 ja levittivät CROSSROAD lataajan sekä SHINYROAD takaoven.
What are the key points to validate first?
Hyökkääjät peukaloivat AOMEI Backupperin päivitysinfrastruktuuria lyhyinä jaksoina huhti–heinäkuussa 2026 ja levittivät CROSSROAD lataajan sekä SHINYROAD takaoven. ManageEngine havaitsi epäilyttävää toimintaa 28. toukokuuta ja varoitti AOMEIa kesäkuussa.
What should I do next in practice?
Palvelimen tiedostojen palauttaminen ei poista tietokoneelle jo asentunutta haittaohjelmaa.