AOMEI 백업 소프트웨어 서버 해킹…악성코드 유포에 악용

해커들이 AOMEI의 서버를 해킹해 AOMEI Backupper의 내장 프로모션 및 알림 시스템을 통해 악성코드를 유포한 것으로 드러났다. 이번 사건은 ManageEngine 위협 분석 연구소가 구글 위협 인텔리전스 그룹, Mandiant와 공동으로 조사했다고 보안 매체 bleepingcomputer.com이 보도했다.

연구진은 이번 활동을 UNC7017로 추적되는 위협 행위자에게 귀속시켰다. UNC7017은 이전에 알려지지 않은 악성코드 다운로더 CROSSROAD와 백도어 SHINYROAD를 유포했다. 영향을 받은 조직은 미국, 오스트레일리아, 인도, 싱가포르, 스페인, 스위스에서 확인됐으며 IT 서비스, 통신, 고등 교육 분야에 걸쳐 있다.

ManageEngine은 5월 28일 자사 엔드포인트 보안 소프트웨어가 서로 다른 국가의 무관한 두 회사에서 AOMEI Backupper가 Radmin을 설치하는 것을 포착하면서 공격을 처음 탐지했다. 공격자들은 AOMEI 구성 파일 두 개인 down_html.ini와 Notifycfg.ini를 잠시 수정했다. 이 파일들을 변조해 AOMEI Backupper가 악성 ZIP 아카이브를 다운로드하도록 유도하고, 알림 메커니즘을 통해 사용자 상호작용 없이 악성코드를 실행하게 했다. 또한 업데이트 구성에서 예상 체크섬을 변경해 악성 아카이브가 파일 검증을 통과하도록 했다.

연구진은 5월 28일(05:40–05:50 UTC), 7월 16일(08:33–08:39 UTC), 7월 20일(10:35–10:40 UTC) 세 차례의 노출 구간을 확인했다. 공격자들은 몇 분 안에 구성 파일을 원래 상태로 복구했다. 7월 20일 공격 당시 구글은 보이지 않는 팝업이 공격자 제어 WebDAV 리소스에 접근해 Windows 인증 해시를 탈취하려는 시도를 관찰했다.

2026년 4월~7월 공급망 공격

2026년 4월부터 7월 사이 AOMEI Backupper의 업데이트 및 알림 시스템을 겨냥한 공급망 공격이 있었다.