AnswersPublished21 sources
Хакери підмінили оновлення AOMEI Backupper: як діяти користувачам
З квітня до липня 2026 року зловмисники короткочасно змінювали конфігурації серверів оновлень AOMEI Backupper, щоб поширювати шкідливе програмне забезпечення, зокрема бекдор SHINYROAD. ManageEngine зафіксувала підозрілу активність 28 травня та попередила AOMEI у червні.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- З квітня до липня 2026 року зловмисники короткочасно змінювали конфігурації серверів оновлень AOMEI Backupper, щоб поширювати шкідливе програмне забезпечення, зокрема бекдор SHINYROAD.
- ManageEngine зафіксувала підозрілу активність 28 травня та попередила AOMEI у червні.
- Відновлення файлів на сервері не очищає комп’ютер, на який уже потрапило шкідливе програмне забезпечення.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
З квітня до липня 2026 року зловмисники втручалися в інфраструктуру оновлень AOMEI Backupper — програми для резервного копіювання даних у Windows. Під час коротких проміжків часу користувачам могли надсилати шкідливі файли, зокрема бекдор SHINYROAD. Дослідники підтвердили три епізоди тривалістю десять, шість і п’ять хвилин, але застерегли: могли бути й інші, яких не вдалося зафіксувати.17
35
11
Навіть якщо сервер оновлень знову видає справжні файли, це не означає, що комп’ютер, на який раніше потрапило шкідливе програмне забезпечення, уже безпечний.5
9
Як виявили атаку
28 травня програмне забезпечення для захисту кінцевих пристроїв ManageEngine зафіксувало підозрілу активність: Backupper встановив легітимний інструмент віддаленого адміністрування Radmin на комп’ютерах двох не пов’язаних між собою клієнтів у різних країнах. У червні ManageEngine попередила AOMEI. Згодом Google Threat Intelligence Group і Mandiant розслідували кампанію разом із ManageEngine та стали відстежувати зловмисників під назвою UNC7017. У наданих повідомленнях країну походження цієї групи не встановлено.16
17
40
20 жовтня видання The Record повідомило, що AOMEI заявила: компанія ще не встановила, які саме клієнти постраждали, і не сповістила їх про зараження.16
Як зловмисники використали оновлення та сповіщення
За даними дослідників, зловмисники підмінили на сервері два конфігураційні файли — down_html.ini і Notifycfg.ini, пов’язані з оновленнями та сповіщеннями Backupper. Якщо програма зверталася до сервера під час такого втручання, змінена конфігурація могла спрямувати її до шкідливого вмісту.17
7
Підтверджені епізоди сталися 28 травня, 16 липня та 20 липня й тривали відповідно десять, шість і п’ять хвилин. Після цього зловмисники повертали на сервер справжні файли. Дослідники вважають, що могли бути й непомічені епізоди, тож ці три дати не є вичерпним переліком можливого часу зараження.35
11
У ланцюжку шкідливого програмного забезпечення був завантажувач CROSSROAD: він розпаковував набір файлів і створював заплановане завдання, яке запускалося кожні три години. Далі підписаний виконуваний файл Radmin завантажував підставлену шкідливу бібліотеку DLL, а та запускала SHINYROAD — бекдор із можливістю віддаленого доступу до командного рядка та виконання команд.35
33
Що відомо про наслідки — і чого поки не встановлено
Серед постраждалих організацій названо компанії у сферах ІТ-послуг і телекомунікацій, а також заклади вищої освіти. Вони працюють більш ніж у десяти країнах.40 Наявні дані не дають змоги встановити повну кількість заражених пристроїв чи організацій. Через короткі проміжки втручання та ймовірність непомічених епізодів трьох підтверджених дат недостатньо, щоб оцінити весь масштаб атаки.
11
16
CROSSROAD також перевіряв середовище запуску та місце розташування комп’ютера. За повідомленнями, на системах, геолокованих у Китаї, шкідлива програма не переходила до основного етапу завантаження.1
9 Наданих відомостей недостатньо, щоб підтвердити всі можливі винятки або інші описані дії програми.
Що робити користувачам Backupper
Якщо ваша організація користувалася Backupper у період із квітня до липня 2026 року, перевірте відповідні комп’ютери за весь цей проміжок, а не лише за три підтверджені дати. Можливість непомічених епізодів не дає підстав вважати, що поза ними ризику не було.2
11
Перевіряйте пристрої на наявність уже встановленого шкідливого програмного забезпечення та механізмів його повторного запуску. Відновлення справжніх файлів на сервері постачальника не видаляє програму, яка вже опинилася на комп’ютері.5
9 Це особливо важливо з огляду на повідомлення від 20 жовтня, що AOMEI ще не встановила особи заражених клієнтів і не сповістила їх.
16
Цей випадок показує, чому скомпрометований канал оновлень може бути небезпечним: шкідливий файл надходить через програму, якій користувач уже довіряє. У цій кампанії, за повідомленнями дослідників, зловмисники також використали підписаний файл Radmin, щоб завантажити шкідливу DLL.17
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Хакери підмінили оновлення AOMEI Backupper: як діяти користувачам"?
З квітня до липня 2026 року зловмисники короткочасно змінювали конфігурації серверів оновлень AOMEI Backupper, щоб поширювати шкідливе програмне забезпечення, зокрема бекдор SHINYROAD.
What are the key points to validate first?
З квітня до липня 2026 року зловмисники короткочасно змінювали конфігурації серверів оновлень AOMEI Backupper, щоб поширювати шкідливе програмне забезпечення, зокрема бекдор SHINYROAD. ManageEngine зафіксувала підозрілу активність 28 травня та попередила AOMEI у червні.
What should I do next in practice?
Відновлення файлів на сервері не очищає комп’ютер, на який уже потрапило шкідливе програмне забезпечення.