AOMEI Backupperの設定ファイル改ざん、マルウェア配布に悪用
ManageEngineの脅威分析ラボなどが調査。攻撃者は設定ファイルを数分間改ざんし、正規の更新確認をすり抜けて悪性アーカイブを配布した。
AOMEIのサーバーが侵害され、バックアップソフト「AOMEI Backupper」の内蔵プロモーション機能と通知機能を通じてマルウェアが配布されていたことが明らかになった。ManageEngineのThreat Analysis LabがGoogleのThreat Intelligence Groupおよびマンディアントと共同で調査し、bleepingcomputer.comが報じた。
一連の活動はUNC7017として追跡される脅威アクターによるものとされている。UNC7017は、これまで知られていなかったダウンローダーのCROSSROADと、バックドアのSHINYROADを配布した。
ManageEngineが最初に攻撃を検知したのは5月28日。エンドポイントセキュリティ製品が、異なる国の無関係な2社でAOMEI BackupperがRadminをインストールする動きを確認した。攻撃者はAOMEIの設定ファイル「down_html.ini」と「Notifycfg.ini」を短時間改ざんし、AOMEI Backupperを悪性ZIPアーカイブのダウンロードへ誘導したうえ、通知機能を使ってユーザーの操作なしにマルウェアを実行させていた。更新設定上の期待チェックサムも書き換えられ、悪性アーカイブがファイル検証を通過していた。
露出が確認された時間帯は、5月28日の05:40〜05:50 UTC、7月16日の08:33〜08:39 UTC、7月20日の10:35〜10:40 UTCの3回。いずれも攻撃者は数分以内に設定ファイルを元の状態に戻していた。7月20日の攻撃では、Googleが、攻撃者管理下のWebDAVリソースにアクセスする不可視のポップアップを通じてWindows認証ハッシュを窃取しようとする試みを観測した。
影響を受けた組織はアメリカ、オーストラリア、インド、シンガポール、スペイン、スイスで確認されており、ITサービス、通信、高等教育の分野に及んでいる。2026年4月から7月にかけて、AOMEI Backupperが使う更新システムと通知システムを標的としたサプライチェーン攻撃が行われていた。
よくある質問
AOMEI Backupperの攻撃はいつ確認された？
ManageEngineが最初に検知したのは5月28日で、露出時間帯は5月28日、7月16日、7月20日の3回確認されている。
どのようなマルウェアが配布された？
CROSSROADと呼ばれるダウンローダーと、SHINYROADと呼ばれるバックドアが配布された。
攻撃の影響を受けた国は？
アメリカ、オーストラリア、インド、シンガポール、スペイン、スイスで影響を受けた組織が確認されている。