AnswersPublished21 sources
AOMEI Backupper ble rammet av angrep via oppdateringer – dette bør brukerne sjekke
Angripere manipulerte AOMEI Backuppers oppdateringsservere i korte perioder mellom april og juli 2026 og spredte skadevare, blant annet bakdøren SHINYROAD. ManageEngine oppdaget mistenkelig aktivitet 28.
Publisert avRedigert med GPT-6 LunaBilder generert med GPT Image 2
Research answer
Key takeaways
- Angripere manipulerte AOMEI Backuppers oppdateringsservere i korte perioder mellom april og juli 2026 og spredte skadevare, blant annet bakdøren SHINYROAD.
- ManageEngine oppdaget mistenkelig aktivitet 28. mai og varslet AOMEI i juni.
- At leverandørens serverfiler er gjenopprettet, er ingen garanti for at en infisert PC er ren.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Angripere manipulerte AOMEI Backuppers oppdateringsinfrastruktur i en kampanje fra april til juli 2026. I korte tidsvinduer ble skadevare, blant annet bakdøren SHINYROAD, levert til brukere. Forskerne bekreftet tre episoder på henholdsvis ti, seks og fem minutter, men advarte om at flere kan ha gått ubemerket hen.17
35
11 At oppdateringsserveren ser normal ut igjen, utelukker ikke at det allerede er installert skadevare på en kundes datamaskin.
5
9
Slik ble kampanjen oppdaget
ManageEngines endepunktssikkerhet oppdaget mistenkelig aktivitet 28. mai. Backupper hadde da installert det legitime fjernadministrasjonsverktøyet Radmin på datamaskiner hos to kunder i forskjellige land, uten at kundene hadde noen forbindelse til hverandre. ManageEngine opplyste at selskapet varslet AOMEI i juni. Google Threat Intelligence Group og Mandiant undersøkte senere aktiviteten sammen med ManageEngine og sporer angriperne som UNC7017. Kildene knytter ikke gruppen til noe bestemt land.16
17
40
- oktober meldte The Record at AOMEI hadde sagt at selskapet ennå ikke hadde identifisert eller varslet kunder som var infisert i angrepet.
16
Slik ble oppdaterings- og varslingssystemene utnyttet
Forskerne meldte at angriperne endret to konfigurasjonsfiler på serversiden, down_html.ini og Notifycfg.ini. Filene var knyttet til Backuppers oppdaterings- og varslingsfunksjoner. Dersom programmet kontaktet serveren mens filene var endret, kunne det bli sendt videre til skadelig innhold.17
7
De tre bekreftede tidsvinduene var 28. mai, 16. juli og 20. juli, og varte i henholdsvis ti, seks og fem minutter. Angriperne la tilbake de legitime filene etterpå. Forskerne tror at det kan ha vært flere endringer enn de selv observerte. De tre bekreftede episodene er derfor ikke nødvendigvis en fullstendig oversikt over når brukere kan ha vært utsatt.35
11
Skadevarekjeden omfattet CROSSROAD, et nedlastingsprogram som pakket ut en samling skadevare og opprettet en planlagt oppgave som kjørte hver tredje time. Deretter lastet en ekte, digitalt signert Radmin-fil inn en ondsinnet DLL-fil, som igjen startet SHINYROAD. Bakdøren kunne gi angriperne fjernstyrt tilgang og mulighet til å kjøre kommandoer.35
33
Dette vet vi – og dette er fortsatt uklart
Det er meldt om berørte organisasjoner innen blant annet IT-tjenester, telekommunikasjon og høyere utdanning, i mer enn ti land.40 Kildene fastslår ikke det samlede antallet infiserte enheter eller organisasjoner. De korte leveringsvinduene, kombinert med advarselen om at flere episoder kan ha gått under radaren, gjør også de bekreftede datoene til et ufullstendig grunnlag for å anslå omfanget.
11
16
CROSSROAD kontrollerte også forhold ved datamaskinens miljø og geografiske plassering. Ifølge rapporteringen unngikk skadevaren å følge hovedløpet for nyttelasten på systemer som ble geolokalisert til Kina.1
9 Materialet som er tilgjengelig her, gir ikke tilstrekkelig grunnlag for å fastslå alle eventuelle unntak eller bekrefte andre påståtte handlinger.
Hva Backupper-brukere bør gjøre
Virksomheter som brukte Backupper mellom april og juli 2026, bør undersøke relevante datamaskiner for hele perioden – ikke bare se etter aktivitet på de tre bekreftede datoene. Kampanjen strakte seg over flere måneder, og det kan ha vært flere angrepsvinduer enn forskerne fikk observert.2
11
Undersøk om det finnes skadevare eller mekanismer som lar den bli værende på enheten. At leverandøren har gjenopprettet de legitime filene på serveren, fjerner ikke en bakdør som allerede er installert på en datamaskin.5
9 Dette er særlig viktig fordi AOMEI ifølge omtalen 20. oktober ennå ikke hadde identifisert eller varslet infiserte kunder.
16
Angrepet viser hvorfor kompromitterte oppdateringskanaler kan være så effektive: Skadevaren kan komme gjennom programvare brukerne allerede kjenner og stoler på. I dette tilfellet brukte skadevarekjeden også en signert Radmin-fil til å laste inn en ondsinnet DLL.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AOMEI Backupper ble rammet av angrep via oppdateringer – dette bør brukerne sjekke"?
Angripere manipulerte AOMEI Backuppers oppdateringsservere i korte perioder mellom april og juli 2026 og spredte skadevare, blant annet bakdøren SHINYROAD.
What are the key points to validate first?
Angripere manipulerte AOMEI Backuppers oppdateringsservere i korte perioder mellom april og juli 2026 og spredte skadevare, blant annet bakdøren SHINYROAD. ManageEngine oppdaget mistenkelig aktivitet 28. mai og varslet AOMEI i juni.
What should I do next in practice?
At leverandørens serverfiler er gjenopprettet, er ingen garanti for at en infisert PC er ren.