แฮ็กเกอร์โจมตีเซิร์ฟเวอร์อัปเดตของ AOMEI เพื่อแจกจ่ายมัลแวร์อย่างลับๆ

silver and black combination lock — Nicolas HIPPERT / Unsplash

แฮ็กเกอร์ได้แทรกแซงเซิร์ฟเวอร์ของ AOMEI เพื่อแจกจ่ายมัลแวร์ผ่านฟีเจอร์ส่งเสริมการขายที่มีอยู่ในซอฟต์แวร์สำรองข้อมูล โดยได้มีการเปลี่ยนแปลงไฟล์การกำหนดค่าชั่วคราวก่อนที่จะคืนค่าไฟล์เหล่านั้นกลับสู่สถานะเดิมเพื่อปิดบังการโจมตี

การโจมตีในห่วงโซ่อุปทานเกิดขึ้นระหว่างเดือนเมษายนถึงกรกฎาคม ปี 2026 โดยมุ่งเป้าไปที่ระบบอัปเดตและการแจ้งเตือนที่ใช้โดย AOMEI Backupper ซึ่งเป็นแอปพลิเคชัน Windows สำหรับการสำรองข้อมูล การโคลนดิสก์ และการกู้คืนระบบ

นักวิจัยจากห้องปฏิบัติการวิเคราะห์ภัยคุกคามของ ManageEngine (METAL) ร่วมกับกลุ่มข้อมูลข่าวสารภัยคุกคามของ Google (GTIG) และ Mandiant ได้ค้นพบแคมเปญนี้และทำการตรวจสอบการโจมตี

ในรายงานที่เผยแพร่โดย Google และ ManageEngine พบว่ากิจกรรมนี้เชื่อมโยงกับผู้กระทำภัยที่ถูกติดตามในนาม UNC7017 ซึ่งใช้โครงสร้างพื้นฐานที่ถูกแทรกแซงเพื่อแจกจ่ายมัลแวร์ดาวน์โหลดที่ไม่เคยรู้จักมาก่อนชื่อ CROSSROAD และแบ็คดอร์ที่ชื่อว่า SHINYROAD

นักวิจัยได้ระบุองค์กรที่ได้รับผลกระทบในหลายประเทศ รวมถึงในอุตสาหกรรมบริการ IT โทรคมนาคม และการศึกษาระดับสูง