AnswersPublished21 sources
Atak na aktualizacje AOMEI Backupper: co się wydarzyło i jak sprawdzić komputer
Między kwietniem a lipcem 2026 roku napastnicy wykorzystywali krótkie ingerencje w serwery aktualizacji AOMEI Backupper do dostarczania malware, w tym backdoora SHINYROAD. ManageEngine wykrył podejrzaną aktywność 28 maja i ostrzegł AOMEI w czerwcu.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- Między kwietniem a lipcem 2026 roku napastnicy wykorzystywali krótkie ingerencje w serwery aktualizacji AOMEI Backupper do dostarczania malware, w tym backdoora SHINYROAD.
- ManageEngine wykrył podejrzaną aktywność 28 maja i ostrzegł AOMEI w czerwcu. Google Threat Intelligence Group i Mandiant badały kampanię, śledzoną pod oznaczeniem UNC7017.[16][17]
- Przywrócenie prawidłowych plików na serwerze dostawcy nie oznacza, że komputer jest czysty.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Napastnicy ingerowali w infrastrukturę aktualizacji AOMEI Backupper podczas kampanii trwającej od kwietnia do lipca 2026 roku. W krótkich oknach mogli kierować użytkowników do złośliwych plików, w tym backdoora SHINYROAD. Badacze potwierdzili trzy takie epizody — trwające odpowiednio dziesięć, sześć i pięć minut — ale zastrzegli, że mogli nie zauważyć kolejnych.17
35
11 To, że serwer aktualizacji znów udostępniał prawidłowe pliki, nie wyklucza obecności malware na komputerze użytkownika.
5
9
Jak wykryto kampanię
Oprogramowanie bezpieczeństwa ManageEngine wykryło podejrzaną aktywność 28 maja. Backupper zainstalował wtedy legalne narzędzie do zdalnej administracji Radmin na komputerach dwóch niezwiązanych ze sobą klientów w różnych krajach. ManageEngine poinformowało AOMEI o sprawie w czerwcu. Później Google Threat Intelligence Group i Mandiant badały aktywność wspólnie z ManageEngine. Napastników śledzono pod oznaczeniem UNC7017; dostępne informacje nie przypisują tej grupy do konkretnego kraju.16
17
40
20 października serwis The Record podał, że AOMEI przyznało, iż nie zidentyfikowało jeszcze klientów zainfekowanych w wyniku ataku ani ich o nim nie powiadomiło.16
Jak działał atak
Badacze ustalili, że napastnicy zmieniali dwa pliki konfiguracyjne po stronie serwera: down_html.ini i Notifycfg.ini. Pliki te uczestniczyły w procesach aktualizacji i wyświetlania powiadomień w Backupperze. Gdy program łączył się z serwerem w czasie trwania ingerencji, zmieniona konfiguracja mogła skierować go do złośliwej zawartości.17
7
Potwierdzone okna ataku przypadły na 28 maja, 16 lipca i 20 lipca. Trwały kolejno dziesięć, sześć i pięć minut. Po każdym epizodzie napastnicy przywracali prawidłowe pliki. Badacze uważają, że ingerencji mogło być więcej, dlatego tych trzech dat nie należy traktować jako pełnej listy możliwych momentów narażenia.35
11
Łańcuch złośliwego oprogramowania obejmował CROSSROAD — program pobierający i rozpakowujący kolejne składniki. Tworzył on zaplanowane zadanie, które uruchamiało się co trzy godziny. Następnie legalny, podpisany cyfrowo plik wykonywalny Radmin ładował złośliwą bibliotekę DLL, a ta uruchamiała backdoora SHINYROAD. Umożliwiał on zdalny dostęp do powłoki systemowej i wykonywanie poleceń.35
33
Skala skutków i niewiadome
Wśród poszkodowanych organizacji wymieniono podmioty z sektorów usług IT, telekomunikacji i szkolnictwa wyższego. Dotknięte instytucje znajdowały się w ponad dziesięciu krajach.40 Dostępne informacje nie pozwalają ustalić łącznej liczby zainfekowanych urządzeń ani organizacji. Krótkie okna dostarczania malware i możliwość przeoczenia kolejnych epizodów utrudniają oszacowanie skali kampanii.
11
16
CROSSROAD sprawdzał między innymi środowisko uruchomieniowe i lokalizację komputera. Według opisów kampanii na systemach, których lokalizację geograficzną określono jako Chiny, nie przechodził do głównej ścieżki instalacji ładunku.1
9 Dostępne materiały nie dają wystarczających podstaw, by potwierdzić wszystkie szczegóły dotyczące możliwych wykluczeń.
Co powinni zrobić użytkownicy Backuppera
Organizacje, które korzystały z Backuppera między kwietniem a lipcem 2026 roku, powinny sprawdzić odpowiednie komputery z całego tego okresu, a nie ograniczać analiz do trzech potwierdzonych dat. Szerszy czas trwania kampanii i możliwość przeoczenia kolejnych ingerencji oznaczają, że brak aktywności w tych konkretnych dniach nie wyklucza narażenia.2
11
Kontrola powinna obejmować poszukiwanie zainstalowanego malware i mechanizmów utrzymywania dostępu na urządzeniach. Przywrócenie prawidłowych plików na serwerach AOMEI nie usuwa złośliwego oprogramowania, które mogło już trafić na komputer.5
9 Ma to szczególne znaczenie w świetle doniesień z 20 października, że AOMEI nie zidentyfikowało jeszcze ani nie powiadomiło zainfekowanych klientów.
16
Atak pokazuje, dlaczego przejęcie kanału aktualizacji jest groźne: złośliwe działania mogą dotrzeć do komputera przez oprogramowanie, któremu użytkownik już ufa. W tym przypadku łańcuch ataku wykorzystywał również podpisany plik Radmin do załadowania złośliwej biblioteki DLL.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Atak na aktualizacje AOMEI Backupper: co się wydarzyło i jak sprawdzić komputer"?
Między kwietniem a lipcem 2026 roku napastnicy wykorzystywali krótkie ingerencje w serwery aktualizacji AOMEI Backupper do dostarczania malware, w tym backdoora SHINYROAD.
What are the key points to validate first?
Między kwietniem a lipcem 2026 roku napastnicy wykorzystywali krótkie ingerencje w serwery aktualizacji AOMEI Backupper do dostarczania malware, w tym backdoora SHINYROAD. ManageEngine wykrył podejrzaną aktywność 28 maja i ostrzegł AOMEI w czerwcu. Google Threat Intelligence Group i Mandiant badały kampanię, śledzoną pod oznaczeniem UNC7017.[16][17]
What should I do next in practice?
Przywrócenie prawidłowych plików na serwerze dostawcy nie oznacza, że komputer jest czysty.