研究揭示AOMEI Backupper更新系统遭篡改植入恶意软件
攻击者短暂修改两个配置文件，借通知机制在无需用户操作的情况下执行恶意程序，受影响机构分布在6个国家。
据bleepingcomputer.com报道，安全研究人员披露，黑客攻陷了AOMEI的服务器，并短暂篡改配置文件，通过Windows备份软件AOMEI Backupper的内置推广与通知系统传播恶意软件。
此次调查由ManageEngine威胁分析实验室的研究人员联合谷歌威胁情报团队及Mandiant共同完成，相关活动被归因于编号为UNC7017的威胁行为体。该行为体散布了此前未知的下载器CROSSROAD和后门程序SHINYROAD。
ManageEngine于5月28日首次发现攻击迹象：其终端安全软件在两个位于不同国家、彼此无关的企业中，监测到AOMEI Backupper安装了Radmin——一款合法的远程管理工具，在此次攻击中被滥用。研究人员确认了三段暴露时间窗口，分别为5月28日05:40至05:50 UTC、7月16日08:33至08:39 UTC以及7月20日10:35至10:40 UTC。
攻击者修改了AOMEI的两个配置文件down_html.ini和Notifycfg.ini，使AOMEI Backupper转而下载一个恶意ZIP压缩包，并利用通知机制在无需用户交互的情况下执行恶意代码。他们还更改了更新配置中预期的校验值，使该恶意压缩包通过文件校验。数分钟内，配置文件即被恢复原状。
已确认的受影响机构位于美国、澳大利亚、印度、新加坡、西班牙和瑞士，涉及IT服务、电信和高等教育行业。在7月20日的攻击中，谷歌观察到一次通过不可见弹窗访问攻击者控制的WebDAV资源、试图窃取Windows身份验证哈希的行为。
此前的供应链攻击背景
在2026年4月至7月期间，针对AOMEI Backupper所用更新与通知系统的供应链攻击已多次出现。
快速问答
哪些国家的机构受到影响？
已确认的受影响机构位于美国、澳大利亚、印度、新加坡、西班牙和瑞士，涉及IT服务、电信和高等教育行业。
攻击者是如何让恶意文件通过校验的？
他们修改了更新配置中预期的校验值，使恶意ZIP压缩包通过文件验证。