---
title: האקרים השתלטו על שרתי העדכונים של AOMEI כדי להפיץ תוכנות זדוניות בחשאי
url: https://www.dataloco.com/he/aomei
published: 2026-10-22T11:21:51+00:00
language: he
section: אבטחה
source: https://www.bleepingcomputer.com/news/security/hackers-hijack-aomei-update-servers-to-secretly-spread-malware/
organizations: AOMEI, ManageEngine, Google, Mandiant
publisher: Dataloco
---

# האקרים השתלטו על שרתי העדכונים של AOMEI כדי להפיץ תוכנות זדוניות בחשאי

האקרים פרצו לשרתים של חברת AOMEI כדי להפיץ תוכנות זדוניות באמצעות תכונה קידומית מובנית בתוכנת הגיבוי של החברה. התוקפים ביצעו שינויים קצרים בקבצי תצורה ולאחר מכן החזירו אותם למצבם המקורי כדי להסתיר את התקיפות.

מתקפות שרשרת האספקה התרחשו בין אפריל ליולי 2026. הן כיוונו למערכות העדכונים וההתראות של AOMEI Backupper, שהיא אפליקציית Windows המשמשת לגיבוי נתונים, שכפול דיסקים ושחזור מערכות.

חוקרים ממעבדת ניתוח האיומים של ManageEngine, בשיתוף עם קבוצת מודיעין האיומים של Google ועם Mandiant, חשפו את המבצע. הפעילות יוחסה לגורם איום המכונה UNC7017. התוקף השתמש בתשתית שנפרצה כדי להפיץ דאונלודר של תוכנה זדונית שאינו מוכר בשם CROSSROAD ודלת אחורית בשם SHINYROAD.

החוקרים זיהו ארגונים שנפגעו במספר מדינות, ביניהן ארצות הברית, אוסטרליה, הודו, סינגפור, ספרד ושווייץ. הפגיעות נרשמה במגזרים של שירותי טכנולוגיית מידע, טלקומוניקציה והשכלה גבוהה. Google הזהירה כי התקיפות היו אופורטוניסטיות ועשויות היו להשפיע על ארגונים נוספים שביצעו בדיקת עדכוני תוכנה בזמן הפצת הקבצים הזדוניים.

התקיפות זוהו לראשונה ב-28 במאי, כאשר תוכנת אבטחת קצוות של ManageEngine זיהתה התקנה פתאומית של כלי ניהול מרחוק לגיטימי בשם Radmin במחשבים של שתי חברות שאינן קשורות זו לזו. ההתקנה הייתה חשודה מכיוון שהיא הופעלה על ידי תהליכי הקידום המובנים של AOMEI, שבדרך כלל מטפלים בהורדה והצגה של תוכן קידומי והתראות.

בדיקות העמיקו את הגילוי ומצאו כי התוקפים שינו זמנית שני קבצי תצורה: down_html.ini, המורה לתוכנה היכן להוריד חבילות עדכון, ו-Notifycfg.ini, השולט בהתראות ויכול להפעיל תוכן במחשב. על ידי שינוי קבצים אלו, התוקפים הפנו את התוכנה להוריד ארכיון ZIP זדוני והשתמשו במנגנון ההתראות כדי להריץ את התוכנה הזדונית ללא צורך באינטראקציה של המשתמש. התוקפים גם שינו את סיכום הבדיקה הצפוי בתצורת העדכון, מה שאיפשר לארכיון הזדוני לעבור את בדיקות אימות הקבצים של התוכנה.

Google ו-ManageEngine זיהו שלושה חלונות זמן שבהם נשלח קובץ התצורה הזדוני: ב-28 במאי למשך 10 דקות, ב-16 ביולי למשך 6 דקות, וב-20 ביולי למשך 5 דקות. במהלך חלונות אלו הותקנו תוכנות CROSSROAD ו-SHINYROAD. הדאונלודר CROSSROAD ביצע סיור במחשב הנגוע, הוריד רכיבים נוספים ויצר התמדה באמצעות משימה מתוזמנת. SHINYROAD השתמשה ברכיבי Radmin לגיטימיים כדי להטעין קוד זדוני וליצור קשר עם שרת שליטה ובקרה של התוקף.

במהלך התקיפה ב-20 ביולי, Google הבחינה בטכניקה שנייה שניסתה לגנוב ערכי אימות של Windows על ידי כפיית מערכת ההתראות של התוכנה לגשת למשאב WebDAV בשליטת התוקף דרך חלון קופץ בלתי נראה. טכניקה זו עלולה לחשוף ערכי NTLM שניתן לאסוף ולפצח מאוחר יותר.

ManageEngine הודיעה ל-AOMEI על הפעילות החשודה ב-7 ביוני. בתחילה הציעה AOMEI כי התוכן אולי נחטף ושונה במהלך ההעברה, אך החוקרים דחו הסבר זה. הם ציינו כי שני קצוות קיבלו את התוכן דרך HTTPS משמות מארחים בבעלות AOMEI, בנתיבי רשת שונים ובמדינות שונות, והתוכן שונה לפני שהגיע לקצוות, בתוך נתיב המסירה המנוהל על ידי הספק.

## This story in other languages

- [Indonesia](https://www.dataloco.com/id/peretas-bajak-server-pembaruan-aomei-untuk-menyebarkan-perangkat-lunak-berbahaya-secara-rahasia)
- [ไทย](https://www.dataloco.com/th/aomei)
- [Français](https://www.dataloco.com/fr/hijacking-des-serveurs-de-mise-a-jour-aomei-pour-diffuser-secretement-des-malwares)
- [Español](https://www.dataloco.com/es/ciberdelincuentes-manipulan-servidores-de-aomei-para-distribuir-malware)
- [Türkçe](https://www.dataloco.com/tr/saldirganlar-aomei-guncelleme-sunucularini-gizlice-kotu-amacli-yazilim-yaymak-icin-ele-gecirdi)
- [العربية](https://www.dataloco.com/ar/krasn-ykhtrkon-khoadm-thdythat-shrk-aomy-lnshr-brmgyat-khbyth-sra)