AnswersPublished21 sources
AOMEI Backupper utsatt för attack via uppdateringar – det här bör användare kontrollera
Angripare manipulerade AOMEI Backuppers uppdateringssystem under perioden april–juli 2026 och spred bland annat nedladdaren CROSSROAD och bakdörren SHINYROAD. ManageEngine upptäckte misstänkt aktivitet den 28 maj och varnade AOMEI i juni.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- Angripare manipulerade AOMEI Backuppers uppdateringssystem under perioden april–juli 2026 och spred bland annat nedladdaren CROSSROAD och bakdörren SHINYROAD.
- ManageEngine upptäckte misstänkt aktivitet den 28 maj och varnade AOMEI i juni. Google Threat Intelligence Group och Mandiant utredde senare kampanjen och spårade angriparna som UNC7017.[16][17]
- Att AOMEI:s serverfiler återställts visar inte att en dator är fri från skadlig kod.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Angripare manipulerade AOMEI Backuppers uppdateringsinfrastruktur under en kampanj som pågick mellan april och juli 2026. Genom korta angreppsfönster kunde de sprida skadlig kod, däribland bakdörren SHINYROAD. Säkerhetsforskare har bekräftat tre tillfällen då filer manipulerades – i tio, sex respektive fem minuter – men varnar för att fler tillfällen kan ha passerat obemärkta.17
35
11
Att uppdateringsservern ser normal ut igen betyder inte att skadlig kod har försvunnit från datorer som redan infekterats.5
9
Så upptäcktes kampanjen
ManageEngines säkerhetsprogram för datorer upptäckte misstänkt aktivitet den 28 maj. Backupper hade då installerat det legitima fjärradministrationsverktyget Radmin på två kunders datorer i olika länder. ManageEngine uppger att bolaget varnade AOMEI i juni. Google Threat Intelligence Group och Mandiant utredde senare aktiviteten tillsammans med ManageEngine och spårade angriparna under beteckningen UNC7017. De tillgängliga uppgifterna kopplar inte gruppen till något land.16
17
40
Den 20 oktober rapporterade The Record att AOMEI uppgett att företaget ännu inte hade identifierat eller meddelat kunder som infekterats i attacken.16
Så utnyttjades uppdateringar och aviseringar
Enligt forskarna ändrade angriparna två konfigurationsfiler på serversidan: down_html.ini och Notifycfg.ini. Filerna användes i Backuppers uppdaterings- och aviseringsfunktioner. När programmet anslöt under ett angreppsfönster kunde den manipulerade konfigurationen leda det till skadligt innehåll.17
7
De tre bekräftade tillfällena var den 28 maj, den 16 juli och den 20 juli. Manipuleringen pågick i tio, sex respektive fem minuter, varefter angriparna återställde de legitima filerna. Forskarna bedömer att fler angrepp kan ha skett utan att upptäckas. De tre datumen bör därför inte ses som en fullständig lista över möjliga exponeringstillfällen.35
11
Skadekedjan innehöll CROSSROAD, en nedladdare som packade upp ett paket och skapade en schemalagd aktivitet som kördes var tredje timme. Därefter användes en legitim, digitalt signerad Radmin-fil för att ladda en skadlig DLL-fil. Den laddade i sin tur SHINYROAD, en bakdörr med funktioner för fjärråtkomst och kommandokörning.35
33
Vad vet man om omfattningen?
Rapporteringen pekar ut drabbade organisationer inom bland annat it-tjänster, telekommunikation och högre utbildning i fler än tio länder.40 Det finns inga säkra uppgifter om det totala antalet infekterade datorer eller organisationer. De korta angreppsfönstren – och risken att fler inte upptäcktes – gör det svårt att bedöma exponeringen utifrån de tre bekräftade tillfällena.
11
16
CROSSROAD kontrollerade också delar av datorns miljö och geografiska plats. Enligt rapporteringen undvek skadekoden sin huvudsakliga körväg på system som lokaliserades till Kina.1
9 Det tillgängliga underlaget räcker däremot inte för att fastställa alla eventuella undantag eller bekräfta andra påstådda beteenden.
Vad bör användare av Backupper göra?
Organisationer som använde Backupper under april–juli 2026 bör undersöka relevanta datorer under hela perioden – inte bara kring de tre bekräftade datumen. Kampanjen omfattade ett längre tidsintervall, och fler tillfällen med manipulerade uppdateringar kan ha förblivit oupptäckta.2
11
Undersök datorerna efter skadlig kod och mekanismer som gör att den kan fortsätta köras. Att de legitima filerna har återställts på leverantörens server tar inte bort ett implantat som redan installerats på en dator.5
9 Det är särskilt relevant mot bakgrund av uppgiften den 20 oktober om att AOMEI ännu inte hade identifierat eller meddelat drabbade kunder.
16
Attacken visar varför kapade uppdateringskanaler är så allvarliga: skadlig kod kan komma via program som användare redan känner till och litar på. I det här fallet användes dessutom en signerad Radmin-fil för att ladda en skadlig DLL.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AOMEI Backupper utsatt för attack via uppdateringar – det här bör användare kontrollera"?
Angripare manipulerade AOMEI Backuppers uppdateringssystem under perioden april–juli 2026 och spred bland annat nedladdaren CROSSROAD och bakdörren SHINYROAD.
What are the key points to validate first?
Angripare manipulerade AOMEI Backuppers uppdateringssystem under perioden april–juli 2026 och spred bland annat nedladdaren CROSSROAD och bakdörren SHINYROAD. ManageEngine upptäckte misstänkt aktivitet den 28 maj och varnade AOMEI i juni. Google Threat Intelligence Group och Mandiant utredde senare kampanjen och spårade angriparna som UNC7017.[16][17]
What should I do next in practice?
Att AOMEI:s serverfiler återställts visar inte att en dator är fri från skadlig kod.