ОтветыОпубликовано21 источники
Взлом обновлений AOMEI Backupper: что произошло и что проверить пользователям
С апреля по июль 2026 года злоумышленники ненадолго подменяли конфигурационные файлы на серверах обновлений AOMEI Backupper и распространяли загрузчик CROSSROAD и бэкдор SHINYROAD. ManageEngine обнаружила подозрительную активность 28 мая и предупредила AOMEI в июне.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- С апреля по июль 2026 года злоумышленники ненадолго подменяли конфигурационные файлы на серверах обновлений AOMEI Backupper и распространяли загрузчик CROSSROAD и бэкдор SHINYROAD.
- ManageEngine обнаружила подозрительную активность 28 мая и предупредила AOMEI в июне.
- Возвращение исходных файлов на сервер не удаляет вредоносную программу с уже заражённого компьютера.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Злоумышленники вмешивались в инфраструктуру обновлений AOMEI Backupper с апреля по июль 2026 года. В короткие промежутки они могли направить программу к вредоносному содержимому, в том числе к бэкдору SHINYROAD. Исследователи подтвердили три эпизода подмены продолжительностью десять, шесть и пять минут, но предупредили, что могли быть и другие, оставшиеся незамеченными.17
35
11 То, что сервер обновлений снова выглядит исправным, не означает, что вредоносная программа удалена с компьютера пользователя.
5
9
Как обнаружили кампанию
ManageEngine первой зафиксировала подозрительную активность 28 мая: на компьютерах двух не связанных друг с другом клиентов из разных стран Backupper установил легитимную программу удалённого администрирования Radmin. В июне ManageEngine сообщила об этом AOMEI. Позже Google Threat Intelligence Group и Mandiant расследовали инцидент совместно с ManageEngine и стали отслеживать участников кампании под обозначением UNC7017. В опубликованных материалах им не приписывают какую-либо страну.16
17
40
20 октября издание The Record сообщило, что AOMEI заявила: компания пока не установила, какие клиенты пострадали, и не уведомила заражённых пользователей.16
Как подменяли обновления
По данным исследователей, злоумышленники изменили два серверных файла конфигурации — down_html.ini и Notifycfg.ini, связанные с обновлениями и уведомлениями Backupper. Если программа обращалась к серверу во время подмены, изменённые настройки могли направить её к вредоносному содержимому.17
7
Подтверждены три периода подмены: 28 мая, 16 июля и 20 июля. Они продолжались соответственно десять, шесть и пять минут. После этого злоумышленники возвращали исходные файлы. Исследователи считают, что эпизодов могло быть больше, поэтому эти три даты не обязательно охватывают все возможные случаи заражения.35
11
Вредоносная цепочка включала CROSSROAD — загрузчик, который распаковывал набор файлов и создавал задачу по расписанию для запуска каждые три часа. Затем подписанный исполняемый файл Radmin загружал подставленную вредоносную DLL-библиотеку, которая запускала SHINYROAD — бэкдор с возможностями удалённого доступа к командной оболочке и выполнения команд.35
33
Масштаб и неизвестные детали
Среди пострадавших организаций назывались компании из сфер ИТ-услуг, телекоммуникаций и высшего образования; они находились более чем в десяти странах.40 Доступные данные не позволяют установить общее число заражённых устройств и организаций. Короткие интервалы доставки и предупреждение о незамеченных эпизодах также не позволяют оценить масштаб только по трём подтверждённым датам.
11
16
CROSSROAD проверял условия запуска, в том числе сведения о местоположении компьютера. В опубликованных материалах говорится, что на системах, определённых как находящиеся в Китае, он не переходил к основному этапу загрузки вредоносной программы.1
9 Доступных сведений недостаточно, чтобы уверенно описать все возможные ограничения или считать подтверждёнными другие заявленные особенности поведения программы.
Что делать пользователям Backupper
Если ваша организация использовала Backupper с апреля по июль 2026 года, проверьте компьютеры за весь этот период, а не только за три подтверждённых промежутка. Кампания охватывала несколько месяцев, а часть эпизодов могла остаться незамеченной.2
11
Важно искать уже установленное вредоносное ПО и механизмы его повторного запуска на компьютерах. Восстановление исходных файлов на сервере поставщика не удаляет вредоносную программу, которая могла попасть на устройство раньше.5
9 Это особенно важно с учётом сообщения от 20 октября: на тот момент AOMEI ещё не установила, кто из клиентов заражён, и не уведомила пострадавших.
16
Этот инцидент показывает, чем опасен взлом канала обновлений: вредоносное содержимое может прийти через программу, которой пользователи уже доверяют. В описанной кампании цепочка заражения также использовала подписанный исполняемый файл Radmin для загрузки вредоносной DLL.17
33
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Взлом обновлений AOMEI Backupper: что произошло и что проверить пользователям»?
С апреля по июль 2026 года злоумышленники ненадолго подменяли конфигурационные файлы на серверах обновлений AOMEI Backupper и распространяли загрузчик CROSSROAD и бэкдор SHINYROAD.
Какие ключевые моменты необходимо проверить в первую очередь?
С апреля по июль 2026 года злоумышленники ненадолго подменяли конфигурационные файлы на серверах обновлений AOMEI Backupper и распространяли загрузчик CROSSROAD и бэкдор SHINYROAD. ManageEngine обнаружила подозрительную активность 28 мая и предупредила AOMEI в июне.
Что мне делать дальше на практике?
Возвращение исходных файлов на сервер не удаляет вредоносную программу с уже заражённого компьютера.