Między kwietniem a lipcem 2026 roku napastnicy skompromitowali infrastrukturę aktualizacji i powiadomień należącą do firmy AOMEI Technology, twórcy programu AOMEI Backupper, narzędzia do kopii zapasowych dla Windows, z którego według producenta korzysta ponad 100 milionów osób. Ta sama infrastruktura obsługuje również AnyViewer, produkt AOMEI do zdalnego pulpitu.
Atak wyróżniał się dyscypliną wykonania. Zamiast trwale podmienić pliki, napastnicy edytowali dwa pliki konfiguracyjne, zostawiali je na pięć do dziesięciu minut, a następnie przywracali oryginały. Każda kopia Backuppera, która akurat w tym czasie odpytała serwer, pobierała i uruchamiała złośliwą paczkę. Każda, która odpytała minutę później, dostawała plik całkowicie legalny.
Ustalenia pochodzą ze skoordynowanych raportów Google Threat Intelligence Group (GTIG), Mandiant oraz ManageEngine Threat Analysis Lab (METAL). Google śledzi łańcuch złośliwego oprogramowania pod nazwami CROSSROAD i SHINYROAD i przypisuje tę aktywność grupie oznaczonej jako UNC7017.
Dwa doprecyzowania. Funkcja powiadomień promocyjnych była wyzwalaczem, ale napastnicy zmanipulowali również instrukcje pobierania, więc nie była to wyłącznie sprawa zatrutej reklamy. Problem po stronie serwerów został rozwiązany: AOMEI poinformowało badaczy pod koniec lipca, że zabezpieczyło swoją infrastrukturę. Problem po stronie klientów rozwiązany nie został.
Co się wydarzyło
Jak działał atak
AOMEI Backupper uruchamia procesy działające w tle, Backupper.exe i ABNotify.exe, które regularnie łączą się z serwerami AOMEI przez HTTPS, żeby sprawdzić dostępność aktualizacji i pobrać okienka promocyjne. To rutynowe, oczekiwane zachowanie niemal każdego programu konsumenckiego.
Napastnicy zdobyli możliwość edytowania plików na tych serwerach i zmienili dwa z nich:
Plik | Normalne przeznaczenie | Co zrobili napastnicy |
|---|---|---|
down_html.ini | Przekazuje Backupperowi wersję paczki, sumę kontrolną i lokalizację pobierania | Przekierowali pobieranie na infrastrukturę kontrolowaną przez napastników |
Notifycfg.ini | Obsługuje funkcję powiadomień i okienek promocyjnych | Posłużył do wyzwolenia uruchomienia pobranego ładunku |
Ponieważ oprogramowanie ufało konfiguracji własnego producenta, złośliwe archiwum ZIP zostało przyjęte jako oryginalne i uruchomione bez jakiejkolwiek interakcji użytkownika. Nie było żadnego monitu do kliknięcia ani decyzji do podjęcia przez ofiarę.
Krótkie okna
Badacze zidentyfikowali trzy potwierdzone okna manipulacji, trwające około dziesięciu, sześciu i pięciu minut. Poza nimi serwery zwracały w pełni legalne pliki.
To właśnie ten szczegół czyni kampanię wyjątkową. Pokonała oczywistą metodę śledczą: gdy badacze sprawdzali serwery AOMEI po fakcie, widzieli wyłącznie czystą konfigurację. METAL początkowo nie potrafił odtworzyć ataku właśnie z tego powodu i musiał przejść na ciągły monitoring serwerów, żeby złapać trwające okno.
Co kluczowe, krótkie okna czyniły tymczasową dystrybucję, a nie infekcję. Komputer, który otrzymał złośliwe instrukcje, dalej uruchamiał złośliwe oprogramowanie długo po przywróceniu serwerów AOMEI.
Złośliwe oprogramowanie
Łańcuch zaczynał się od niepodpisanego pobieracza o nazwie upgrade-now.exe, dostarczanego w archiwum ZIP. Przygotowywał kolejny ładunek, ustanawiał trwały dostęp, a następnie usuwał sam siebie. Jego brak na komputerze niczego więc nie dowodzi.
Trwały dostęp zapewniało zaplanowane zadanie o nazwie RadminComponentRuntime. Efektem końcowym była tylna furtka zdalnego dostępu, pozwalająca napastnikom wykonywać polecenia i instalować kolejne szkodliwe oprogramowanie.
Badacze nie zaklasyfikowali ładunku jako ransomware ani infostealera, ale tylna furtka tego rodzaju to punkt wyjścia do wszystkiego, co operator wybierze dalej.
Czynnik obciążający: ponieważ procesy AOMEI działają w ramach usługi (ABService.exe), złośliwe oprogramowanie mogło wystartować z podwyższonymi uprawnieniami, bez potrzeby samodzielnej eskalacji.
Jak to wykryto
METAL zauważył nieprawidłowość 28 maja, gdy AOMEI Backupper zainstalował oprogramowanie do zdalnej administracji na komputerach dwóch niepowiązanych ze sobą klientów w różnych krajach. Dwie niezwiązane ofiary otrzymujące to samo nieoczekiwane oprogramowanie z tej samej zaufanej aplikacji to silny sygnał, i to on otworzył śledztwo.
Drugie, cichsze ryzyko
W lipcu manipulacja obejmowała, według doniesień, konfigurację wskazującą na ścieżkę sieciową kontrolowaną przez napastników. Windows próbuje automatycznie uwierzytelnić się wobec takiej ścieżki, co może ujawnić materiał uwierzytelniający NetNTLMv2 bez uruchamiania jakiegokolwiek złośliwego oprogramowania. Taki materiał można wykorzystać do łamania haseł offline lub do ataków typu relay.
Oznacza to, że komputer mógł zostać narażony na kradzież poświadczeń, nawet jeśli nigdy nie trafił na niego żaden złośliwy plik wykonywalny.
Co zrobiło AOMEI
AOMEI poinformowało badaczy, że zaktualizowało serwery, załatało potencjalne podatności, zweryfikowało integralność hostowanych plików i podjęło działania naprawcze w infrastrukturze dystrybucyjnej. Firma przekazała, że sprawę bada jej dyrektor techniczny.
Nie ujawniono natomiast, w jaki sposób napastnicy dostali się do środka. Pierwotny wektor włamania nie został opublikowany.
Dlaczego to ma znaczenie
Podatnością jest sam model zaufania. Nic w tym ataku nie wymagało błędu w oprogramowaniu na komputerze ofiary. Program zrobił dokładnie to, do czego go zbudowano: połączył się z producentem, przyjął jego instrukcje i uruchomił to, co mu kazano. Ataki na łańcuch dostaw o takim kształcie całkowicie omijają osąd użytkownika, bo użytkownika nikt o nic nie pyta.
Oprogramowanie do kopii zapasowych jest wyjątkowo atrakcyjnym celem. Jest powszechnie instalowane, działa z podwyższonymi uprawnieniami, pracuje w tle, jest z definicji zaufane i sięga do danych, na których ludziom zależy najbardziej. Jest ponura ironia w tym, że produkt mający ratować po incydencie staje się narzędziem jego wywołania.
Krótkie serie pokonują śledztwo oparte na migawce. Pięciominutowe okno to technika warta zapamiętania. Każdy proces bezpieczeństwa, który sprawdza zasób zdalny okresowo, a nie w sposób ciągły, da się obejść przez napastnika cierpliwie czekającego na przerwy.
Ekspozycja była oportunistyczna, a prawdziwa skala nieznana. GTIG zaznacza, że zainfekowany mógł zostać każdy system odpytujący serwery w trakcie okna manipulacji, więc rzeczywisty zasięg może być szerszy niż potwierdzone przypadki. Nie opublikowano listy ofiar i możliwe, że nigdy nie powstanie.
Naprawa u producenta to nie naprawa u klienta. To najczęściej nierozumiany punkt w całej sprawie. Zabezpieczenie serwerów przez AOMEI powstrzymuje nowe infekcje. Nie robi nic z komputerem, na którym tylna furtka już siedzi.
Kogo to dotyczy
Użytkowników AOMEI Backupper, według doniesień w wersji 8.3.0 i nowszych, których oprogramowanie odpytało serwery w trakcie jednego z okien manipulacji między kwietniem a lipcem 2026 roku.
Użytkowników AnyViewer, ponieważ skompromitowana infrastruktura obsługiwała także ten produkt.
Organizacji używających produktów AOMEI na stacjach roboczych lub serwerach, zwłaszcza tam, gdzie oprogramowanie działa jako usługa z podwyższonymi uprawnieniami.
Każdego, czyj komputer mógł zostać skierowany na sieciową ścieżkę napastnika w lipcu. Taki przypadek należy traktować jako potencjalne ujawnienie poświadczeń, a nie jako kwestię złośliwego oprogramowania.
Dostawców usług zarządzanych (MSP) wdrażających narzędzia AOMEI u klientów, gdzie jedna skompromitowana konfiguracja może dotknąć wielu maszyn.
Co powinny zrobić organizacje
Sprawdź, czy doszło do infekcji
Przejrzyj katalog instalacyjny AOMEI Backupper, zwykle
C:\Program Files (x86)\AOMEI\AOMEI Backupper\, łącznie z podkatalogamihtmliTmphtmlwłaściwymi dla wersji, pod kątem niepodpisanego pliku upgrade-now.exe lub nieoczekiwanego upgrade-now.zip.Pamiętaj, że pobieracz usuwa sam siebie. Jego brak nie oznacza, że komputer jest czysty. Szukaj dalej.
Sprawdź Harmonogram zadań pod kątem zadania o nazwie RadminComponentRuntime, które badacze wskazali jako mechanizm trwałego dostępu.
Poszukaj połączeń z infrastrukturą napastników, w tym z domeną
aomei.storage-data.com, w logach DNS i proxy sięgając wstecz do kwietnia 2026 roku.Przejrzyj pełną listę wskaźników kompromitacji opublikowaną przez Google i ManageEngine, w tym podejrzane zadania zaplanowane i nieoczekiwane pliki wykonywalne w katalogach AOMEI.
Wykonaj pełne skanowanie zaktualizowanym oprogramowaniem zabezpieczającym. Malwarebytes wykrywa pierwotny pobieracz jako
Malware.AI.4006642887.
Jeśli coś znajdziesz
Potraktuj to jak pełną kompromitację, a nie jak sprzątanie po wirusie. Ładunkiem jest tylna furtka zdalnego dostępu, która mogła działać z uprawnieniami systemowymi i zainstalować kolejne narzędzia.
Zakładaj ujawnienie poświadczeń. Zmień dane logowania używane na zajętej maszynie lub dostępne z niej i przejrzyj logi uwierzytelniania pod kątem prób relay i łamania haseł, szczególnie wokół lipca 2026 roku.
Postaw system od nowa, zamiast go czyścić, jeśli maszyna jest wrażliwa albo czas przebywania napastnika był długi.
Lekcje strukturalne
Monitoruj połączenia wychodzące z zaufanych aplikacji. Infekcja przyszła przez HTTPS z legalnej domeny producenta, więc filtrowanie po reputacji nic nie dało. Pomogła detekcja behawioralna i monitoring ruchu wychodzącego.
Stosuj listy dozwolonych aplikacji, które zablokowałyby niepodpisany plik wykonywalny pojawiający się w katalogu programu, niezależnie od jego pochodzenia.
Ogranicz, które oprogramowanie może działać z uprawnieniami usługi systemowej, i sprawdź, co wolno uruchamiać Twoim agentom backupu, zdalnego dostępu i zarządzania.
Zinwentaryzuj oprogramowanie z automatyczną aktualizacją w całej infrastrukturze. Każdy aktualizator działający w tle to stała, zaufana i nienadzorowana ścieżka uruchamiania kodu, prowadząca od firmy trzeciej wprost na Twoje stacje końcowe.
Pytaj dostawców, jak chronią własną infrastrukturę budowania i dystrybucji, i traktuj odpowiedź jako element oceny dostawcy.
Podsumowanie i kluczowa lekcja
Napastnicy nie potrzebowali exploita, maila phishingowego ani nieostrożnego użytkownika. Potrzebowali prawa zapisu do dwóch plików tekstowych na cudzym serwerze i cierpliwości, żeby korzystać z niego przez pięć minut.
Lekcja: kanał automatycznych aktualizacji to stała, uprzywilejowana i nienadzorowana ścieżka uruchamiania kodu w Twojej sieci, kontrolowana przez kogoś innego. To również jedna z tych nielicznych rzeczy, których zespoły bezpieczeństwa prawie nigdy nie monitorują, bo cały sens aktualizatora polega na tym, że działa bez nadzoru. Każdy program z aktualizatorem w tle rozciąga to samo zaufanie, a Ty polegasz na tym, że każdy z tych producentów utrzyma swoje serwery w czystości.
Druga lekcja jest operacyjna i pilna. Naprawa po stronie serwera to nie naprawa stacji końcowej. AOMEI naprawiło swoją infrastrukturę i ten fakt uspokoi wiele osób, które nie powinny być uspokojone. Jeśli Twój komputer odpytywał serwery w trakcie jednego z trzech krótkich okien między kwietniem a lipcem, może wciąż nosić tylną furtkę, której instalator usunął się wiele miesięcy temu.
Dwie rzeczy warte zrobienia w tym tygodniu: sprawdź katalogi AOMEI i Harmonogram zadań względem opublikowanych wskaźników oraz sporządź listę każdej aplikacji w Twojej infrastrukturze, która aktualizuje się sama.
