답변게시됨21 소스
AOMEI Backupper 업데이트 서버 공격…감염 여부 확인이 필요한 이유
공격자들은 2026년 4 7월 AOMEI Backupper의 업데이트 서버 설정을 짧은 시간 동안 변조해 CROSSROAD 다운로더와 SHINYROAD 백도어를 배포했습니다. ManageEngine은 5월 28일 의심스러운 활동을 탐지하고 6월 AOMEI에 알렸습니다.
게시자GPT-6 Luna로 편집GPT Image 2로 이미지 생성
연구 답변
주요 시사점
- 공격자들은 2026년 4 7월 AOMEI Backupper의 업데이트 서버 설정을 짧은 시간 동안 변조해 CROSSROAD 다운로더와 SHINYROAD 백도어를 배포했습니다.
- ManageEngine은 5월 28일 의심스러운 활동을 탐지하고 6월 AOMEI에 알렸습니다. Google Threat Intelligence Group과 Mandiant는 공격자를 UNC7017로 추적했습니다.[16][17]
- 서버 파일이 정상으로 복구돼도 이미 PC에 설치된 악성코드는 남을 수 있습니다. 확인된 공격 날짜에만 국한하지 말고 전체 캠페인 기간의 기기를 점검해야 합니다.[5][11]
AI 프롬프트
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
AOMEI Backupper의 업데이트 인프라가 2026년 4월부터 7월 사이 공격받아, 일부 이용자 기기에 SHINYROAD 백도어를 포함한 악성코드가 전달됐습니다. 연구진이 확인한 서버 변조는 각각 10분, 6분, 5분간 이어졌습니다. 다만 관측되지 않은 추가 공격이 있었을 가능성도 제기됐습니다.17
35
11
공격자들은 변조한 파일을 다시 정상 상태로 되돌렸습니다. 하지만 서버가 깨끗해졌다는 사실만으로 사용자 PC까지 안전하다고 볼 수는 없습니다.5
9
공격은 어떻게 드러났나
ManageEngine의 엔드포인트 보안 소프트웨어는 5월 28일, 서로 다른 국가에 있는 두 고객사의 컴퓨터에서 Backupper가 원격 관리 도구 Radmin을 설치하는 의심스러운 활동을 처음 탐지했습니다. ManageEngine은 6월 AOMEI에 경고했다고 밝혔습니다. 이후 Google Threat Intelligence Group과 Mandiant가 ManageEngine과 함께 조사해 공격자를 UNC7017로 추적했습니다. 공개된 보도는 이 공격 조직의 배후 국가를 특정하지 않았습니다.16
17
40
10월 20일 보도에 따르면 AOMEI는 공격으로 감염된 고객을 아직 파악하거나 통지하지 못했다고 밝혔습니다.16
몇 분간의 설정 파일 변조로 악성코드 전달
연구진은 공격자가 Backupper의 업데이트 및 알림 과정에 관여하는 서버 측 설정 파일 down_html.ini와 Notifycfg.ini를 변조한 것으로 파악했습니다. 변조된 파일이 적용된 짧은 시간에 소프트웨어가 서버에 접속하면 악성 콘텐츠로 연결될 수 있었습니다.17
7
확인된 변조 시점은 5월 28일, 7월 16일, 7월 20일입니다. 각각 10분, 6분, 5분 동안 이어졌고, 공격자들은 이후 파일을 정상 내용으로 복구했습니다. 연구진은 직접 확인한 사례보다 더 많은 변조가 있었을 수 있다고 밝혔습니다. 따라서 이 세 날짜만으로 감염 가능 기간을 한정해서는 안 됩니다.35
11
악성코드 감염 과정에는 CROSSROAD 다운로더가 포함됐습니다. CROSSROAD는 페이로드 묶음을 풀고 3시간마다 실행되는 예약 작업을 설정했습니다. 이후 정상 서명이 있는 Radmin 실행 파일이 악성 DLL을 불러오고, 이 DLL이 원격 셸과 명령 실행 기능을 가진 SHINYROAD 백도어를 로드했습니다.35
33
확인된 피해와 아직 불확실한 범위
보도에 따르면 피해 조직은 IT 서비스, 통신, 고등교육 등 여러 분야에 걸쳐 있으며, 10개국이 넘는 국가에서 확인됐습니다.40 전체 감염 기기나 조직 수는 공개된 근거만으로 확정할 수 없습니다. 공격 시간이 짧았고 관측되지 않은 변조가 더 있었을 가능성도 있어, 확인된 날짜만으로 피해 범위를 추산하기는 어렵습니다.
11
16
CROSSROAD는 실행 환경과 위치도 확인했으며, 중국에 있는 것으로 판별된 시스템에서는 주요 페이로드 실행 경로를 피한 것으로 보도됐습니다.1
9 다만 제공된 보도 내용만으로는 다른 차단 조건이나 추가로 거론된 행위까지 모두 확인된 사실로 단정하기 어렵습니다.
Backupper 이용자가 점검할 사항
2026년 4~7월 Backupper를 사용한 조직은 확인된 세 공격 시점만 살피지 말고, 해당 기간 전체에 걸쳐 관련 컴퓨터를 조사해야 합니다. 캠페인 기간이 더 넓고 추가 변조가 관측되지 않았을 가능성도 있기 때문입니다.2
11
점검은 현재 업데이트 서버 상태에 그치지 않고 기기에 남아 있는 악성코드와 지속 실행 설정까지 확인해야 합니다. 공급업체 서버의 파일이 정상으로 돌아와도 이미 설치된 백도어가 자동으로 제거되지는 않습니다.5
9 AOMEI가 감염 고객을 아직 파악하거나 통지하지 못했다고 보도된 만큼, 자체적인 기기 점검이 중요합니다.
16
이번 사건은 신뢰하던 프로그램의 업데이트 경로가 악용될 경우 악성 활동이 정상 소프트웨어의 동작처럼 보일 수 있음을 보여줍니다. 연구진은 이 공격에서 정상 서명이 있는 Radmin 실행 파일이 악성 DLL을 불러오는 방식도 확인했습니다.17
33
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
사람들은 또한 묻습니다.
"AOMEI Backupper 업데이트 서버 공격…감염 여부 확인이 필요한 이유"에 대한 짧은 대답은 무엇입니까?
공격자들은 2026년 4 7월 AOMEI Backupper의 업데이트 서버 설정을 짧은 시간 동안 변조해 CROSSROAD 다운로더와 SHINYROAD 백도어를 배포했습니다.
먼저 검증할 핵심 포인트는 무엇인가요?
공격자들은 2026년 4 7월 AOMEI Backupper의 업데이트 서버 설정을 짧은 시간 동안 변조해 CROSSROAD 다운로더와 SHINYROAD 백도어를 배포했습니다. ManageEngine은 5월 28일 의심스러운 활동을 탐지하고 6월 AOMEI에 알렸습니다. Google Threat Intelligence Group과 Mandiant는 공격자를 UNC7017로 추적했습니다.[16][17]
실무에서는 다음으로 무엇을 해야 합니까?
서버 파일이 정상으로 복구돼도 이미 PC에 설치된 악성코드는 남을 수 있습니다. 확인된 공격 날짜에만 국한하지 말고 전체 캠페인 기간의 기기를 점검해야 합니다.[5][11]