AnswersPublished21 sources
Attacco alla catena di fornitura di AOMEI Backupper: cosa sappiamo
Tra aprile e luglio 2026, gli aggressori hanno manomesso per brevi intervalli i sistemi di aggiornamento di AOMEI Backupper per distribuire CROSSROAD e la backdoor SHINYROAD. ManageEngine ha rilevato attività sospette il 28 maggio e ha avvisato AOMEI a giugno.
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- Tra aprile e luglio 2026, gli aggressori hanno manomesso per brevi intervalli i sistemi di aggiornamento di AOMEI Backupper per distribuire CROSSROAD e la backdoor SHINYROAD.
- ManageEngine ha rilevato attività sospette il 28 maggio e ha avvisato AOMEI a giugno.
- Il ripristino dei file sui server del fornitore non dimostra che i computer siano puliti.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Gli aggressori hanno manomesso l’infrastruttura di aggiornamento di AOMEI Backupper durante una campagna che si è svolta tra aprile e luglio 2026, sfruttando finestre di pochi minuti per distribuire malware, tra cui la backdoor SHINYROAD. I ricercatori hanno confermato tre episodi, durati rispettivamente dieci, sei e cinque minuti, ma avvertono che potrebbero essercene stati altri non osservati.17
35
11 E anche se i server del fornitore tornano a mostrare file legittimi, il malware potrebbe essere già presente sui computer degli utenti.
5
9
Come è emersa la campagna
Il software di sicurezza per endpoint di ManageEngine ha rilevato attività sospette il 28 maggio: Backupper aveva installato il legittimo strumento di amministrazione remota Radmin sui computer di due clienti senza apparenti collegamenti, in Paesi diversi. ManageEngine ha dichiarato di aver avvisato AOMEI a giugno. In seguito, Google Threat Intelligence Group e Mandiant hanno indagato insieme a ManageEngine e hanno identificato gli aggressori come UNC7017. Le informazioni disponibili non attribuiscono il gruppo a un Paese.16
17
40
Il 20 ottobre, The Record ha riferito che AOMEI aveva dichiarato di non aver ancora identificato né avvisato i clienti infettati nell’attacco.16
Come sono stati sfruttati aggiornamenti e notifiche
Secondo i ricercatori, gli aggressori hanno modificato due file di configurazione sui server, down_html.ini e Notifycfg.ini, coinvolti nelle funzioni di aggiornamento e notifica di Backupper. Se il programma effettuava un controllo durante una finestra di manomissione, le impostazioni alterate potevano indirizzarlo a contenuti malevoli.17
7
Gli episodi confermati risalgono al 28 maggio, al 16 luglio e al 20 luglio: sono durati rispettivamente dieci, sei e cinque minuti. Dopo ogni intervento, gli aggressori hanno ripristinato i file legittimi. I ricercatori ritengono possibile che ci siano state altre manomissioni, quindi le tre finestre individuate non costituiscono un elenco completo delle possibili esposizioni.35
11
La catena di malware comprendeva CROSSROAD, un programma che scaricava e scompattava un pacchetto e creava un’attività pianificata, eseguita ogni tre ore. Un eseguibile Radmin con firma legittima caricava poi di lato una DLL malevola, che a sua volta avviava SHINYROAD: una backdoor capace di aprire una shell remota ed eseguire comandi.35
33
Impatto: cosa si sa e cosa resta incerto
Le organizzazioni coinvolte appartenevano a settori come servizi IT, telecomunicazioni e istruzione superiore e si trovavano in più di dieci Paesi.40 Le informazioni disponibili non chiariscono quanti dispositivi o organizzazioni siano stati infettati complessivamente. Le brevi finestre di distribuzione e la possibilità che altre siano passate inosservate rendono le date confermate insufficienti per stimare con precisione l’esposizione.
11
16
CROSSROAD effettuava anche controlli sull’ambiente di esecuzione e sulla posizione del dispositivo. Secondo le ricostruzioni, evitava il percorso principale di distribuzione del payload sui sistemi geolocalizzati in Cina.1
9 Le informazioni disponibili non permettono però di stabilire con affidabilità tutte le eventuali esclusioni né di considerare confermati altri comportamenti ipotizzati.
Cosa dovrebbero fare gli utenti di Backupper
Le organizzazioni che hanno utilizzato Backupper tra aprile e luglio 2026 dovrebbero verificare i computer interessati per l’intero periodo, invece di limitare i controlli alle tre finestre confermate. La campagna ha coperto un arco temporale più ampio e potrebbero esserci stati altri episodi non rilevati.2
11
Le verifiche dovrebbero cercare malware già installato e meccanismi di persistenza sugli endpoint. Il ripristino dei file legittimi sui server del fornitore non rimuove un impianto già presente su un computer.5
9 Il controllo è particolarmente importante alla luce della notizia del 20 ottobre secondo cui AOMEI non aveva ancora identificato né avvisato i clienti infettati.
16
La vicenda mostra perché i canali di aggiornamento software sono un bersaglio delicato: il malware può arrivare tramite un programma che gli utenti già utilizzano e considerano affidabile. In questo caso, secondo i ricercatori, la catena ha sfruttato anche un eseguibile Radmin firmato per caricare una DLL malevola.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Attacco alla catena di fornitura di AOMEI Backupper: cosa sappiamo"?
Tra aprile e luglio 2026, gli aggressori hanno manomesso per brevi intervalli i sistemi di aggiornamento di AOMEI Backupper per distribuire CROSSROAD e la backdoor SHINYROAD.
What are the key points to validate first?
Tra aprile e luglio 2026, gli aggressori hanno manomesso per brevi intervalli i sistemi di aggiornamento di AOMEI Backupper per distribuire CROSSROAD e la backdoor SHINYROAD. ManageEngine ha rilevato attività sospette il 28 maggio e ha avvisato AOMEI a giugno.
What should I do next in practice?
Il ripristino dei file sui server del fornitore non dimostra che i computer siano puliti.