AnswersPublished21 sources
עדכוני AOMEI Backupper שימשו להפצת נוזקה — גם אחרי שהשרתים חזרו לפעול כרגיל
תוקפים שינו לזמן קצר את תשתית העדכונים של AOMEI Backupper בין אפריל ליולי 2026, והפיצו באמצעותה את CROSSROAD ואת הדלת האחורית SHINYROAD. ManageEngine זיהתה פעילות חשודה ב־28 במאי והזהירה את AOMEI ביוני.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- תוקפים שינו לזמן קצר את תשתית העדכונים של AOMEI Backupper בין אפריל ליולי 2026, והפיצו באמצעותה את CROSSROAD ואת הדלת האחורית SHINYROAD.
- ManageEngine זיהתה פעילות חשודה ב־28 במאי והזהירה את AOMEI ביוני. Google Threat Intelligence Group ו־Mandiant חקרו את המתקפה ועקבו אחר התוקפים בשם UNC7017.[16][17]
- החזרת קובצי השרת למצב תקין אינה מעידה שהמחשבים שהורידו את הנוזקה נקיים. ארגונים שהשתמשו ב־Backupper בתקופה הרלוונטית צריכים לבדוק את המחשבים לאורך כל התקופה, ולא רק בתאריכים שאושרו.[5][11]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
בין אפריל ליולי 2026 תוקפים שיבשו לפרקי זמן קצרים את תשתית העדכונים של AOMEI Backupper, תוכנת גיבוי ל־Windows, והשתמשו בה להפצת נוזקות ובהן הדלת האחורית SHINYROAD. החוקרים אישרו שלושה אירועי שיבוש שנמשכו עשר, שש וחמש דקות, אך הזהירו שייתכן שהיו חלונות נוספים שלא נצפו.17
35
11 העובדה שקובצי העדכון בשרת נראים תקינים כעת אינה מוכיחה שהמחשבים של המשתמשים נקיים.
5
9
איך נחשפה המתקפה
תוכנת אבטחת נקודות הקצה של ManageEngine זיהתה פעילות חשודה לראשונה ב־28 במאי: Backupper התקינה את Radmin, כלי לגיטימי לניהול מרחוק, בשני מחשבים של לקוחות שאינם קשורים זה לזה ובמדינות שונות. ManageEngine מסרה שהזהירה את AOMEI ביוני. בהמשך חקרו Google Threat Intelligence Group ו־Mandiant את הפעילות יחד עם ManageEngine, ועקבו אחר התוקפים בשם UNC7017. בדיווחים שסופקו לא יוחסה הקבוצה למדינה מסוימת.16
17
40
ב־20 באוקטובר דיווח אתר The Record כי AOMEI מסרה שעדיין לא זיהתה אילו לקוחות נדבקו במתקפה ולא הודיעה להם.16
איך שימשו שרתי העדכונים וההתראות להפצת הנוזקה
לפי החוקרים, התוקפים שינו שני קובצי הגדרות בצד השרת — down_html.ini ו־Notifycfg.ini — שהיו קשורים לתהליכי העדכון וההתראות של Backupper. תוכנה שבדקה את השרת בזמן חלון השיבוש יכלה לקבל הנחיה שהובילה לתוכן זדוני.17
7
שלושת חלונות השיבוש שאושרו היו ב־28 במאי, ב־16 ביולי וב־20 ביולי, ונמשכו עשר, שש וחמש דקות, בהתאמה. לאחר מכן התוקפים החזירו את הקבצים לגרסאות המקוריות. החוקרים סבורים שייתכן שהתרחשו אירועים נוספים שלא זוהו, ולכן אין לראות בשלושת התאריכים רשימה מלאה של מועדי החשיפה האפשריים.35
11
שרשרת הנוזקה כללה את CROSSROAD, תוכנת הורדה שחילצה חבילת קבצים ויצרה משימה מתוזמנת להפעלה אחת לשלוש שעות. לאחר מכן, קובץ Radmin חתום ולגיטימי טען לצדו קובץ DLL זדוני, שהפעיל את SHINYROAD — דלת אחורית שאפשרה גישה דרך מעטפת מרחוק והרצת פקודות.35
33
מה ידוע על היקף הפגיעה — ומה עדיין לא ברור
בדיווחים זוהו ארגונים שנפגעו בתחומי שירותי ה־IT, התקשורת וההשכלה הגבוהה, ביותר מעשר מדינות.40 המידע הקיים אינו קובע כמה מחשבים או ארגונים נדבקו בסך הכול. מאחר שחלונות ההפצה היו קצרים והחוקרים מזהירים שייתכן שחלונות נוספים לא נצפו, אי אפשר להסתמך רק על שלושת התאריכים שאושרו כדי להעריך את היקף החשיפה.
11
16
CROSSROAD גם בדקה מאפיינים של סביבת ההפעלה ושל מיקום המחשב. לפי הדיווחים, היא נמנעה מהפעלת מסלול המטען העיקרי במערכות שמיקומן זוהה כסין.1
9 המידע שסופק אינו מבסס די פרטים כדי לקבוע אילו חריגות נוספות הוגדרו, או להתייחס להתנהגויות אחרות שנטענו כעובדות מאומתות כאן.
מה כדאי לעשות אם השתמשתם ב־Backupper
ארגונים שהשתמשו ב־Backupper בין אפריל ליולי 2026 צריכים לבדוק את המחשבים הרלוונטיים לאורך כל התקופה, ולא להסתפק בבדיקה סביב שלושת חלונות השיבוש שאושרו. טווח הקמפיין היה רחב יותר, וייתכן שהתרחשו חלונות נוספים שלא נצפו.2
11
הבדיקה צריכה להתמקד גם בנוזקות שכבר הותקנו ובמנגנוני ההתמדה שלהן במחשבים. החזרת הקבצים המקוריים לשרת של הספק אינה מסירה נוזקה שכבר הותקנה במחשב של לקוח.5
9 הדבר חשוב במיוחד לנוכח הדיווח מ־20 באוקטובר שלפיו AOMEI עדיין לא זיהתה או הודיעה ללקוחות שנפגעו.
16
המתקפה מדגימה מדוע פגיעה בערוץ עדכוני תוכנה עלולה להיות משמעותית: פעילות זדונית יכולה להגיע דרך תוכנה שהמשתמשים כבר מתקינים וסומכים עליה. במקרה הזה, החוקרים דיווחו שגם קובץ Radmin חתום שימש לטעינת DLL זדוני.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "עדכוני AOMEI Backupper שימשו להפצת נוזקה — גם אחרי שהשרתים חזרו לפעול כרגיל"?
תוקפים שינו לזמן קצר את תשתית העדכונים של AOMEI Backupper בין אפריל ליולי 2026, והפיצו באמצעותה את CROSSROAD ואת הדלת האחורית SHINYROAD.
What are the key points to validate first?
תוקפים שינו לזמן קצר את תשתית העדכונים של AOMEI Backupper בין אפריל ליולי 2026, והפיצו באמצעותה את CROSSROAD ואת הדלת האחורית SHINYROAD. ManageEngine זיהתה פעילות חשודה ב־28 במאי והזהירה את AOMEI ביוני. Google Threat Intelligence Group ו־Mandiant חקרו את המתקפה ועקבו אחר התוקפים בשם UNC7017.[16][17]
What should I do next in practice?
החזרת קובצי השרת למצב תקין אינה מעידה שהמחשבים שהורידו את הנוזקה נקיים. ארגונים שהשתמשו ב־Backupper בתקופה הרלוונטית צריכים לבדוק את המחשבים לאורך כל התקופה, ולא רק בתאריכים שאושרו.[5][11]