AnswersPublished21 sources
Kemas kini AOMEI Backupper pernah disusupi — komputer pengguna mungkin masih berisiko
Penyerang mengusik pelayan kemas kini AOMEI Backupper dalam beberapa tempoh singkat antara April hingga Julai 2026, lalu menghantar CROSSROAD dan pintu belakang SHINYROAD. ManageEngine mengesan aktiviti mencurigakan pada 28 Mei dan memaklumkan AOMEI pada Jun.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- Penyerang mengusik pelayan kemas kini AOMEI Backupper dalam beberapa tempoh singkat antara April hingga Julai 2026, lalu menghantar CROSSROAD dan pintu belakang SHINYROAD.
- ManageEngine mengesan aktiviti mencurigakan pada 28 Mei dan memaklumkan AOMEI pada Jun.
- Pelayan yang sudah dipulihkan tidak semestinya bermakna komputer pengguna bersih.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Serangan rantaian bekalan menyasarkan infrastruktur kemas kini AOMEI Backupper antara April hingga Julai 2026. Penyerang mengubah tetapan pelayan untuk tempoh singkat bagi menghantar perisian hasad, termasuk pintu belakang SHINYROAD. Penyelidik mengesahkan tiga episod yang masing-masing berlangsung selama 10, enam dan lima minit, tetapi memberi amaran bahawa episod lain mungkin tidak dikesan.17
35
11
Perkara penting bagi pengguna: pelayan yang kelihatan normal semula tidak membuktikan komputer yang menerima fail berbahaya sudah bersih. Perisian hasad mungkin kekal pada komputer selepas fail pelayan dipulihkan.5
9
Bagaimana serangan ini dikesan
Perisian keselamatan titik akhir ManageEngine mula mengesan aktiviti mencurigakan pada 28 Mei. Ketika itu, Backupper memasang alat pentadbiran jauh yang sah, Radmin, pada komputer milik dua pelanggan yang tidak berkaitan dan berada di negara berbeza. ManageEngine berkata pihaknya memaklumkan AOMEI pada Jun. Google Threat Intelligence Group dan Mandiant kemudian menyiasat aktiviti itu bersama ManageEngine, lalu menjejaki penyerang sebagai UNC7017. Laporan yang diberikan tidak mengaitkan kumpulan itu dengan mana-mana negara.16
17
40
Pada 20 Oktober, The Record melaporkan bahawa AOMEI berkata syarikat itu masih belum mengenal pasti atau memaklumkan pelanggan yang dijangkiti dalam serangan tersebut.16
Cara saluran kemas kini digunakan
Menurut penyelidik, penyerang mengubah dua fail konfigurasi pada pelayan, down_html.ini dan Notifycfg.ini, yang digunakan dalam proses kemas kini dan pemberitahuan Backupper. Jika perisian menyemak pelayan ketika fail itu diubah, konfigurasi tersebut boleh mengarahkannya kepada kandungan berbahaya.17
7
Tiga tempoh gangguan yang disahkan berlaku pada 28 Mei, 16 Julai dan 20 Julai, masing-masing selama 10, enam dan lima minit. Selepas itu, penyerang memulihkan fail yang sah. Namun, penyelidik percaya mungkin terdapat episod lain yang tidak sempat diperhatikan. Oleh itu, tiga tarikh ini bukan semestinya senarai lengkap waktu pengguna mungkin terdedah.35
11
Rantaian perisian hasad itu merangkumi CROSSROAD, pemuat turun yang mengekstrak satu pakej dan menyediakan tugasan berjadual untuk dijalankan setiap tiga jam. Seterusnya, fail Radmin yang ditandatangani secara sah memuatkan DLL berbahaya melalui teknik DLL side-loading. DLL itu kemudian memuatkan SHINYROAD, pintu belakang yang boleh membolehkan akses shell jauh dan pelaksanaan arahan.35
33
Apa yang diketahui tentang kesannya
Laporan mengenal pasti organisasi terjejas dalam sektor seperti perkhidmatan IT, telekomunikasi dan pendidikan tinggi, merentasi lebih 10 negara.40 Namun, bukti yang tersedia tidak menetapkan jumlah sebenar komputer atau organisasi yang dijangkiti. Tempoh penghantaran yang singkat dan kemungkinan episod lain tidak dikesan juga menyukarkan anggaran pendedahan berdasarkan tiga tarikh yang disahkan sahaja.
11
16
CROSSROAD turut memeriksa persekitaran pelaksanaan dan lokasi komputer. Laporan menyatakan bahawa ia tidak meneruskan laluan muatan utamanya pada sistem yang dikenal pasti berada di China.1
9 Maklumat yang diberikan tidak cukup untuk mengesahkan semua bentuk pengecualian atau tingkah laku lain yang pernah didakwa.
Apa yang patut dilakukan pengguna Backupper
Organisasi yang menggunakan Backupper antara April hingga Julai 2026 patut menyiasat komputer berkaitan sepanjang keseluruhan tempoh itu, bukannya mengehadkan semakan kepada tiga episod yang disahkan. Kempen ini merangkumi tempoh yang lebih luas, dan gangguan tambahan mungkin berlaku tanpa dikesan.2
11
Pemeriksaan perlu mencari perisian hasad dan mekanisme yang membolehkannya terus aktif pada komputer. Memulihkan fail yang sah pada pelayan vendor tidak akan membuang pintu belakang yang sudah dipasang pada komputer pengguna.5
9 Perkara ini lebih penting memandangkan laporan pada Oktober menyatakan AOMEI masih belum mengenal pasti atau memaklumkan pelanggan yang dijangkiti.
16
Kes ini menunjukkan risiko apabila saluran kemas kini perisian yang dipercayai disusupi: aktiviti berbahaya boleh tiba melalui perisian yang sudah biasa digunakan pelanggan. Dalam kes ini, penyelidik turut melaporkan bahawa rantaian perisian hasad menggunakan fail Radmin bertandatangan sah untuk memuatkan DLL berbahaya.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Kemas kini AOMEI Backupper pernah disusupi — komputer pengguna mungkin masih berisiko"?
Penyerang mengusik pelayan kemas kini AOMEI Backupper dalam beberapa tempoh singkat antara April hingga Julai 2026, lalu menghantar CROSSROAD dan pintu belakang SHINYROAD.
What are the key points to validate first?
Penyerang mengusik pelayan kemas kini AOMEI Backupper dalam beberapa tempoh singkat antara April hingga Julai 2026, lalu menghantar CROSSROAD dan pintu belakang SHINYROAD. ManageEngine mengesan aktiviti mencurigakan pada 28 Mei dan memaklumkan AOMEI pada Jun.
What should I do next in practice?
Pelayan yang sudah dipulihkan tidak semestinya bermakna komputer pengguna bersih.