安全 · 2026年10月22日
也发布于 ไทย
AOMEI Backupper更新服务器遭多次滥用，用户系统感染恶意软件
攻击者多次滥用AOMEI Backupper的更新服务器，导致用户系统感染恶意软件，谷歌与ManageEngine对此进行了通报。AOMEI Backupper是一款用于数据备份、磁盘克隆和灾难恢复的软件解决方案。研究人员发现，该更新服务器被用于对备份软件用户实施供应链攻击。
谷歌指出，此次攻击的显著特点是受感染的“更新”仅在每次五到十分钟内向用户提供。随后，与更新服务器建立连接的系统将再次获取正常更新。在攻击窗口期内连接服务器的所有系统均接收到了恶意软件。谷歌称，攻击至少发生在5月28日、7月16日和7月20日，但研究人员不排除其他时间点也发生过攻击。
调查工作因恶意软件的行为而受到阻碍。通过“更新”安装的投放器恶意软件会自行删除。ManageEngine的两家客户在5月28日的攻击中受到影响。其中一家未具名组织于6月7日联系ManageEngine，此时投放器恶意软件已从受影响的系统中消失。ManageEngine的终端检测与响应软件记录了恶意更新的活动及遥测数据，从而保留了相关信息。
ManageEngine于同日联系了AOMEI。该软件公司最初声称攻击者在数据传输过程中篡改了数据。然而，ManageEngine的调查表明，文件在从AOMEI发出时已被篡改。由于缺乏实际文件，研究人员无法证明AOMEI的基础设施传播了恶意软件。
ManageEngine随后决定监控AOMEI的特定网址，最终在7月16日获得了所需证据。攻击者在短短六分钟内修改了配置文件，导致连接更新服务器的客户端接收到恶意软件。该恶意软件被确认为后门程序。
7月20日，谷歌研究人员发现了一次新的攻击。此次通过恶意更新在受害者系统上加载了一个HTML文件，随后通过服务器消息块或WebDAV协议与攻击者服务器建立连接。攻击者借此获取了系统的NetNTLMv2哈希值，该哈希值可被破解或用于中继攻击。在获知此事后，AOMEI表示已采取纠正措施。攻击者如何能够修改配置文件尚未公布。
谷歌根据收集的遥测数据指出，攻击受害者分布在多个行业，包括信息技术服务、电信、教育及相关实体，涉及澳大利亚、巴西、印度、巴基斯坦、葡萄牙、新加坡、南非、西班牙、瑞士、土耳其和美国。研究人员补充称，受影响的组织数量可能多于他们能够观察到的范围。