---
title: Peretas Bajak Server Pembaruan AOMEI untuk Menyebarkan Perangkat Lunak Berbahaya secara Rahasia
url: https://www.dataloco.com/id/peretas-bajak-server-pembaruan-aomei-untuk-menyebarkan-perangkat-lunak-berbahaya-secara-rahasia
published: 2026-10-22T05:21:39+00:00
language: id
section: Keamanan
source: https://www.bleepingcomputer.com/news/security/hackers-hijack-aomei-update-servers-to-secretly-spread-malware/
organizations: AOMEI, ManageEngine, Google, Mandiant
publisher: Dataloco
---

# Peretas Bajak Server Pembaruan AOMEI untuk Menyebarkan Perangkat Lunak Berbahaya secara Rahasia

Peretas dilaporkan telah mengompromikan server AOMEI untuk mendistribusikan perangkat lunak berbahaya melalui fitur promosi bawaan dalam perangkat lunak pencadangan miliknya.

Serangan rantai pasokan ini terjadi antara April dan Juli 2026 dengan menargetkan sistem pembaruan dan notifikasi yang digunakan oleh AOMEI Backupper, sebuah aplikasi Windows untuk pencadangan data, pengklonan disk, dan pemulihan sistem. Kampanye ini ditemukan dan diselidiki oleh peneliti dari Threat Analysis Lab milik ManageEngine, yang bekerja sama dengan Threat Intelligence Group milik Google dan Mandiant.

Aktivitas ini dikaitkan dengan aktor ancaman yang dilacak sebagai UNC7017. Aktor tersebut menggunakan infrastruktur yang terkompromi untuk menyebarkan pengunduh perangkat lunak berbahaya yang sebelumnya tidak dikenal bernama CROSSROAD dan pintu belakang bernama SHINYROAD. Organisasi yang terdampak teridentifikasi di berbagai negara, termasuk Amerika Serikat, Australia, India, Singapura, Spanyol, dan Swiss, yang mencakup sektor layanan teknologi informasi, telekomunikasi, dan pendidikan tinggi. Google memperingatkan bahwa serangan ini bersifat oportunistik dan mungkin telah memengaruhi organisasi tambahan yang memeriksa pembaruan perangkat lunak selama periode singkat distribusi berkas berbahaya.

Serangan pertama kali terdeteksi pada 28 Mei ketika perangkat lunak keamanan titik akhir ManageEngine mendeteksi AOMEI Backupper tiba-tiba menginstal alat administrasi jarak jauh sah bernama Radmin pada komputer di dua perusahaan yang tidak saling terkait. Instalasi Radmin dianggap mencurigakan karena diluncurkan oleh proses promosi bawaan AOMEI yang biasanya menangani pengunduhan dan tampilan konten promosi serta notifikasi.

Pengujian lebih lanjut menunjukkan bahwa penyerang tidak mengganti berkas secara permanen, melainkan memodifikasi dua berkas konfigurasi secara singkat: down_html.ini, yang mengarahkan tempat pengunduhan paket pembaruan, dan Notifycfg.ini, yang mengontrol notifikasi dan dapat memicu konten untuk berjalan di komputer. Dengan memodifikasi berkas ini, penyerang mengarahkan perangkat lunak untuk mengunduh arsip ZIP berbahaya dan menggunakan mekanisme notifikasi untuk mengeksekusi perangkat lunak berbahaya tanpa interaksi pengguna. Penyerang juga memodifikasi jumlah pemeriksaan yang diharapkan dalam konfigurasi pembaruan agar arsip berbahaya dapat melewati pemeriksaan verifikasi berkas.

Google dan ManageEngine mengidentifikasi tiga jendela waktu paparan: 10 menit pada 28 Mei, 6 menit pada 16 Juli, dan 5 menit pada 20 Juli. Penyerang mengembalikan berkas konfigurasi ke bentuk aslinya dalam hitungan menit untuk menyembunyikan serangan. Pengunduh CROSSROAD melakukan pengintaian pada komputer yang terinfeksi, mengunduh komponen tambahan, dan menetapkan persistensi melalui tugas terjadwal. Sementara itu, SHINYROAD menggunakan komponen Radmin sah untuk memuat kode berbahaya dan membangun koneksi keluar ke server perintah dan kontrol milik penyerang.

Pada serangan 20 Juli, Google mengamati teknik kedua yang mencoba mencuri hash autentikasi Windows dengan memaksa sistem notifikasi mengakses sumber daya WebDAV milik penyerang melalui jendela munculan yang tidak terlihat. Hal ini dapat mengekspos hash NTLM yang dapat dikumpulkan dan dipecahkan oleh server penyerang.

ManageEngine menyatakan telah memberi tahu AOMEI tentang aktivitas mencurigakan ini pada 7 Juni. AOMEI awalnya menyarankan bahwa konten mungkin telah dicegat dan dimodifikasi saat transit, namun ManageEngine tidak setuju karena bukti menunjukkan konten telah diubah di dalam jalur pengiriman yang dihosting vendor. AOMEI menyatakan bahwa Direktur Teknologi mereka sedang melakukan penyelidikan.