AnswersPublished21 sources
AOMEI Backupper: hoe een updatekanaal malware verspreidde en wat gebruikers moeten controleren
Aanvallers pasten tussen april en juli 2026 kortstondig AOMEI’s update infrastructuur aan om malware, waaronder de achterdeur SHINYROAD, via Backupper te verspreiden. ManageEngine ontdekte op 28 mei verdachte activiteit en waarschuwde AOMEI in juni.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Aanvallers pasten tussen april en juli 2026 kortstondig AOMEI’s update infrastructuur aan om malware, waaronder de achterdeur SHINYROAD, via Backupper te verspreiden.
- ManageEngine ontdekte op 28 mei verdachte activiteit en waarschuwde AOMEI in juni.
- Een herstelde updateserver maakt een computer niet automatisch schoon. Organisaties die Backupper gebruikten, moeten hun systemen over de hele campagneperiode onderzoeken — niet alleen de drie bevestigde momenten.[5][11]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Aanvallers manipuleerden tussen april en juli 2026 de update-infrastructuur van AOMEI Backupper. Zo konden ze in korte tijd malware verspreiden, waaronder de achterdeur SHINYROAD. Onderzoekers bevestigden drie momenten waarop bestanden waren aangepast: die duurden tien, zes en vijf minuten. Ze waarschuwen dat er mogelijk meer van zulke momenten zijn geweest die niet zijn waargenomen.17
35
11 Dat de updateserver er later weer normaal uitzag, sluit niet uit dat er al malware op een computer is geïnstalleerd.
5
9
Hoe de aanval aan het licht kwam
De endpointbeveiligingssoftware van ManageEngine sloeg op 28 mei alarm. Backupper installeerde toen het legitieme programma voor beheer op afstand Radmin op twee computers van verschillende klanten in verschillende landen. ManageEngine zegt AOMEI in juni te hebben gewaarschuwd. Google Threat Intelligence Group en Mandiant onderzochten de activiteit later samen met ManageEngine. Zij volgen de aanvallers onder de naam UNC7017; de beschikbare berichtgeving schrijft de groep niet toe aan een land.16
17
40
Op 20 oktober meldde The Record dat AOMEI had gezegd nog niet te hebben vastgesteld welke klanten door de aanval waren besmet en hen ook nog niet te hebben geïnformeerd.16
Zo werden de update- en meldingssystemen misbruikt
Volgens onderzoekers pasten de aanvallers twee configuratiebestanden op de servers aan: down_html.ini en Notifycfg.ini. Die bestanden speelden een rol bij de update- en meldingsfuncties van Backupper. Een computer die tijdens zo’n periode contact maakte met de server, kon daardoor naar schadelijke inhoud worden geleid.17
7
De drie bevestigde momenten waren 28 mei, 16 juli en 20 juli. De bestanden waren respectievelijk tien, zes en vijf minuten aangepast; daarna zetten de aanvallers de legitieme versies terug. Onderzoekers denken dat er meer aanpassingen kunnen zijn geweest dan zij rechtstreeks hebben gezien. De drie bevestigde momenten zijn dus niet noodzakelijk een volledig overzicht van wanneer gebruikers risico liepen.35
11
De malwareketen bevatte CROSSROAD, een downloader die een pakket met malware uitpakte en een geplande taak aanmaakte. Die taak startte elke drie uur. Een legitiem, digitaal ondertekend Radmin-programma laadde vervolgens via DLL-sideloading een kwaadaardige DLL, die SHINYROAD startte. Deze achterdeur kon onder meer een shell op afstand openen en opdrachten uitvoeren.35
33
Wat bekend is over de gevolgen — en wat niet
De berichtgeving noemt getroffen organisaties in onder meer de IT-dienstverlening, telecommunicatie en het hoger onderwijs, verspreid over meer dan tien landen.40 Hoeveel organisaties en computers precies zijn besmet, is op basis van de beschikbare informatie niet vast te stellen. Omdat de aanval tussen april en juli liep en er mogelijk ongeziene aanpassingsmomenten waren, geven de drie bevestigde data geen volledig beeld van de mogelijke blootstelling.
11
16
CROSSROAD controleerde ook de omgeving en locatie waarin het draaide. Volgens de berichtgeving volgde het programma op systemen waarvan de locatie op China werd vastgesteld niet zijn gebruikelijke route naar de hoofdpayload.1
9 De beschikbare informatie is niet voldoende om alle mogelijke uitsluitingen of andere gemelde gedragingen als bevestigd te beschrijven.
Wat gebruikers van Backupper kunnen doen
Organisaties die Backupper tussen april en juli 2026 gebruikten, doen er goed aan hun computers over de hele periode te onderzoeken. Beperk controles niet tot de drie bevestigde momenten: door de bredere campagneperiode en de kans op niet-waargenomen aanpassingen sluiten die data blootstelling op andere momenten niet uit.2
11
Controleer systemen op malware die al aanwezig is en op manieren waarop die malware actief kan blijven. Het terugzetten van legitieme bestanden op de server verwijdert geen implantaat dat al op een computer staat.5
9 Dat is extra relevant omdat AOMEI volgens een bericht van 20 oktober nog niet had vastgesteld welke klanten besmet waren en hen nog niet had geïnformeerd.
16
De aanval laat zien waarom een gekaapt software-updatekanaal gevaarlijk kan zijn: schadelijke bestanden kunnen binnenkomen via software die gebruikers al kennen en vertrouwen. In deze campagne werd volgens onderzoekers ook een ondertekend Radmin-programma gebruikt om een kwaadaardige DLL te laden.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AOMEI Backupper: hoe een updatekanaal malware verspreidde en wat gebruikers moeten controleren"?
Aanvallers pasten tussen april en juli 2026 kortstondig AOMEI’s update infrastructuur aan om malware, waaronder de achterdeur SHINYROAD, via Backupper te verspreiden.
What are the key points to validate first?
Aanvallers pasten tussen april en juli 2026 kortstondig AOMEI’s update infrastructuur aan om malware, waaronder de achterdeur SHINYROAD, via Backupper te verspreiden. ManageEngine ontdekte op 28 mei verdachte activiteit en waarschuwde AOMEI in juni.
What should I do next in practice?
Een herstelde updateserver maakt een computer niet automatisch schoon. Organisaties die Backupper gebruikten, moeten hun systemen over de hele campagneperiode onderzoeken — niet alleen de drie bevestigde momenten.[5][11]