答案已发布21 来源
AOMEI Backupper更新渠道遭攻击，用户现在该检查什么？
攻击者在2026年4月至7月间短暂篡改AOMEI Backupper更新基础设施，借此投放CROSSROAD和SHINYROAD后门。[17][35] ManageEngine于5月28日发现异常，并在6月通知AOMEI；Google威胁情报小组与Mandiant随后将相关攻击者追踪为UNC7017。[16][17] 服务器文件恢复正常，不代表已感染的电脑也恢复安全。相关机构应排查整个活动时段，而不能只检查已确认的三个攻击窗口。[5][11]
发布者使用 GPT-6 Luna 编辑图片由 GPT Image 2 生成
研究答案
要点
- 攻击者在2026年4月至7月间短暂篡改AOMEI Backupper更新基础设施，借此投放CROSSROAD和SHINYROAD后门。[17][35]
- ManageEngine于5月28日发现异常，并在6月通知AOMEI；Google威胁情报小组与Mandiant随后将相关攻击者追踪为UNC7017。[16][17]
- 服务器文件恢复正常，不代表已感染的电脑也恢复安全。相关机构应排查整个活动时段，而不能只检查已确认的三个攻击窗口。[5][11]
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
攻击者在2026年4月至7月间多次短暂篡改AOMEI Backupper的更新基础设施，借此投放包括SHINYROAD后门在内的恶意程序。研究人员确认了三次篡改，持续时间分别为10分钟、6分钟和5分钟；但他们提醒，可能还有未被观察到的攻击时段。17
35
11 即使更新服务器上的文件后来恢复正常，也不能据此认定用户电脑上的恶意程序已被清除。
5
9
事件如何曝光
5月28日，ManageEngine的终端安全软件首次发现异常：Backupper在两个不同国家、互不相关的客户电脑上安装了合法的远程管理工具Radmin。ManageEngine表示，它在6月通知了AOMEI。此后，Google威胁情报小组（GTIG）与Mandiant和ManageEngine共同调查，将相关攻击者追踪为UNC7017；现有报道没有将这一攻击集群归属到任何国家。16
17
40
10月20日，《The Record》报道称，AOMEI表示尚未识别出在此次攻击中感染的客户，也尚未通知他们。16
攻击者如何利用更新和通知机制
研究人员报告称，攻击者篡改了服务器端的两个配置文件：down_html.ini和Notifycfg.ini。这两个文件与Backupper的更新及通知流程有关；如果软件恰好在配置被篡改期间连接服务器，就可能被引导至恶意内容。17
7
目前确认的三次篡改发生在5月28日、7月16日和7月20日，分别持续10分钟、6分钟和5分钟。攻击者随后恢复了原有文件。研究人员认为，实际发生的篡改次数可能多于他们直接观察到的次数，因此这三个日期并不能完整界定所有可能的暴露时段。35
11
恶意程序链中包括下载器CROSSROAD。它会解包一组载荷，并建立一个每三小时运行一次的计划任务。随后，一个带有合法签名的Radmin可执行文件会侧载恶意DLL，再由该DLL加载SHINYROAD后门；该后门具备远程Shell和执行命令的能力。35
33
影响范围：已知与未知
报道指出，受影响组织涉及IT服务、电信和高等教育等行业，分布在10多个国家。40 现有证据尚无法确定感染设备或组织的完整数量。由于攻击窗口很短，而且研究人员认为可能存在未被发现的额外时段，仅凭已确认的日期难以准确估算受影响范围。
11
16
CROSSROAD还会检查运行环境和地理位置。报道描述称，如果系统定位在中国，它会避开主要载荷执行路径。1
9 现有报道没有提供足够可靠的细节，无法确认所有可能的排除条件，也不宜将其他未经充分证实的行为视为定论。
Backupper用户现在可以做什么
如果机构在2026年4月至7月期间使用过Backupper，应对相关电脑开展排查，覆盖整个活动时段，而不只是三个已确认的攻击窗口。攻击活动的整体时间跨度较长，且可能有其他篡改时段未被观察到，因此这些日期不能用来排除其他时间的风险。2
11
排查重点应包括终端上是否仍有恶意程序及其持久化机制。供应商服务器上的文件恢复正常，并不会自动清除已经安装到电脑里的植入程序。5
9 这一点尤其值得留意：截至10月20日的报道，AOMEI仍未识别出感染客户或通知他们。
16
这起事件也说明，软件更新渠道一旦被攻陷，攻击就可能借助用户原本信任的软件抵达终端。研究人员还报告称，此次恶意程序链利用带合法签名的Radmin可执行文件加载恶意DLL。17
33
Studio Global AI
继续你的研究
此页面包含一个有来源支持的答案，您可以在 Studio Global 内继续。
人们还问
“AOMEI Backupper更新渠道遭攻击，用户现在该检查什么？”的简短答案是什么？
攻击者在2026年4月至7月间短暂篡改AOMEI Backupper更新基础设施，借此投放CROSSROAD和SHINYROAD后门。[17][35]
首先要验证的关键点是什么？
攻击者在2026年4月至7月间短暂篡改AOMEI Backupper更新基础设施，借此投放CROSSROAD和SHINYROAD后门。[17][35] ManageEngine于5月28日发现异常，并在6月通知AOMEI；Google威胁情报小组与Mandiant随后将相关攻击者追踪为UNC7017。[16][17]
接下来在实践中我应该做什么？
服务器文件恢复正常，不代表已感染的电脑也恢复安全。相关机构应排查整个活动时段，而不能只检查已确认的三个攻击窗口。[5][11]