Câu trả lờiĐã xuất bản21 nguồn
AOMEI Backupper bị cài mã độc qua kênh cập nhật: Những điều cần biết
Kẻ tấn công can thiệp máy chủ cập nhật AOMEI Backupper trong những khoảng thời gian ngắn từ tháng 4 đến tháng 7/2026, qua đó phát tán CROSSROAD và cửa hậu SHINYROAD. ManageEngine phát hiện hoạt động đáng ngờ ngày 28/5 và cho biết đã cảnh báo AOMEI trong tháng 6; Google Threat Intelligence Group và Mandiant theo dõi...
Đăng bởiBiên tập bằng GPT-6 LunaHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- Kẻ tấn công can thiệp máy chủ cập nhật AOMEI Backupper trong những khoảng thời gian ngắn từ tháng 4 đến tháng 7/2026, qua đó phát tán CROSSROAD và cửa hậu SHINYROAD.
- ManageEngine phát hiện hoạt động đáng ngờ ngày 28/5 và cho biết đã cảnh báo AOMEI trong tháng 6; Google Threat Intelligence Group và Mandiant theo dõi chiến dịch với tên UNC7017.[16][17]
- Máy chủ đã được khôi phục về trạng thái bình thường không đồng nghĩa máy tính người dùng đã sạch mã độc.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Kẻ tấn công đã can thiệp hạ tầng cập nhật của AOMEI Backupper trong một chiến dịch kéo dài từ tháng 4 đến tháng 7/2026, dùng các khoảng thời gian rất ngắn để phát tán mã độc, trong đó có cửa hậu SHINYROAD. Các nhà nghiên cứu xác nhận ba đợt can thiệp kéo dài lần lượt 10, 6 và 5 phút, đồng thời cảnh báo có thể còn những đợt khác chưa được ghi nhận.17
35
11 Việc máy chủ cập nhật trông có vẻ bình thường trở lại không chứng minh máy tính đã nhận mã độc là an toàn.
5
9
Chiến dịch được phát hiện như thế nào?
Phần mềm bảo mật thiết bị đầu cuối của ManageEngine phát hiện hoạt động đáng ngờ vào ngày 28/5, khi Backupper cài công cụ quản trị từ xa hợp pháp Radmin lên máy tính của hai khách hàng không liên quan ở hai quốc gia khác nhau. ManageEngine cho biết đã cảnh báo AOMEI trong tháng 6. Sau đó, Google Threat Intelligence Group và Mandiant phối hợp điều tra với ManageEngine, theo dõi nhóm đứng sau hoạt động này dưới tên UNC7017. Các nguồn được cung cấp không quy kết nhóm này cho quốc gia nào.16
17
40
Ngày 20/10, Recorded Future News đưa tin AOMEI cho biết công ty vẫn chưa xác định hoặc thông báo cho những khách hàng bị nhiễm mã độc trong vụ việc.16
Kẻ tấn công lợi dụng hệ thống cập nhật ra sao?
Theo các nhà nghiên cứu, kẻ tấn công đã sửa hai tệp cấu hình phía máy chủ là down_html.ini và Notifycfg.ini, vốn tham gia vào quy trình cập nhật và thông báo của Backupper. Nếu phần mềm kiểm tra trong lúc cấu hình bị thay đổi, nó có thể bị dẫn tới nội dung độc hại.17
7
Ba đợt can thiệp được xác nhận xảy ra vào ngày 28/5, 16/7 và 20/7, kéo dài lần lượt 10, 6 và 5 phút. Sau đó, kẻ tấn công khôi phục các tệp hợp lệ. Tuy nhiên, các nhà nghiên cứu cho rằng có thể đã có thêm những đợt can thiệp mà họ không quan sát được; vì vậy, ba mốc này không phải danh sách đầy đủ mọi thời điểm có nguy cơ phơi nhiễm.35
11
Chuỗi mã độc bao gồm CROSSROAD, một chương trình tải xuống và giải nén một gói dữ liệu, sau đó tạo tác vụ định kỳ chạy ba giờ một lần. Tiếp theo, một tệp thực thi Radmin có chữ ký số hợp lệ tải một DLL độc hại theo kỹ thuật DLL side-loading; DLL này nạp SHINYROAD, một cửa hậu có khả năng mở shell từ xa và thực thi lệnh.35
33
Quy mô ảnh hưởng và những điểm chưa rõ
Các báo cáo cho biết tổ chức trong những lĩnh vực như dịch vụ CNTT, viễn thông và giáo dục đại học ở hơn 10 quốc gia đã bị ảnh hưởng.40 Dữ liệu hiện có chưa xác định được tổng số thiết bị hoặc tổ chức bị nhiễm. Do các đợt phát tán diễn ra rất ngắn và có thể còn những đợt chưa được phát hiện, chỉ dựa vào ba ngày đã xác nhận sẽ không đủ để ước tính toàn bộ phạm vi phơi nhiễm.
11
16
CROSSROAD cũng kiểm tra một số yếu tố liên quan đến môi trường chạy và vị trí địa lý; các báo cáo mô tả chương trình không tiếp tục nhánh tải mã độc chính trên những hệ thống được định vị ở Trung Quốc.1
9 Thông tin trong các nguồn được cung cấp chưa đủ để xác nhận đầy đủ mọi trường hợp bị loại trừ hoặc coi các hành vi khác được nêu trong một số báo cáo là đã được chứng minh.
Người dùng Backupper nên làm gì?
Các tổ chức từng sử dụng Backupper trong giai đoạn tháng 4–7/2026 nên rà soát máy tính trong toàn bộ giai đoạn này, thay vì chỉ giới hạn việc kiểm tra vào ba ngày đã xác nhận. Chiến dịch kéo dài qua nhiều tháng và có thể có những đợt can thiệp chưa được phát hiện, nên các mốc đã biết không loại trừ nguy cơ vào những thời điểm khác.2
11
Việc rà soát cần tìm mã độc và cơ chế duy trì hiện diện đã được cài trên thiết bị. Khôi phục các tệp hợp lệ trên máy chủ của nhà cung cấp không xóa được mã độc đã nằm trên máy tính người dùng.5
9 Điều này càng đáng lưu ý khi AOMEI được đưa tin là chưa xác định hoặc thông báo cho khách hàng bị nhiễm tính đến ngày 20/10.
16
Vụ việc cho thấy vì sao kênh cập nhật phần mềm bị xâm nhập có thể gây hậu quả lớn: mã độc có thể đến từ phần mềm mà khách hàng vốn đã sử dụng và tin tưởng. Trong chiến dịch này, các nhà nghiên cứu còn ghi nhận chuỗi mã độc dùng một tệp thực thi Radmin có chữ ký hợp lệ để tải DLL độc hại.17
33
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "AOMEI Backupper bị cài mã độc qua kênh cập nhật: Những điều cần biết" là gì?
Kẻ tấn công can thiệp máy chủ cập nhật AOMEI Backupper trong những khoảng thời gian ngắn từ tháng 4 đến tháng 7/2026, qua đó phát tán CROSSROAD và cửa hậu SHINYROAD.
Những điểm chính cần xác nhận đầu tiên là gì?
Kẻ tấn công can thiệp máy chủ cập nhật AOMEI Backupper trong những khoảng thời gian ngắn từ tháng 4 đến tháng 7/2026, qua đó phát tán CROSSROAD và cửa hậu SHINYROAD. ManageEngine phát hiện hoạt động đáng ngờ ngày 28/5 và cho biết đã cảnh báo AOMEI trong tháng 6; Google Threat Intelligence Group và Mandiant theo dõi chiến dịch với tên UNC7017.[16][17]
Tôi nên làm gì tiếp theo trong thực tế?
Máy chủ đã được khôi phục về trạng thái bình thường không đồng nghĩa máy tính người dùng đã sạch mã độc.