AOMEIのアップデートサーバーが侵害され、マルウェアとバックドアが配布される
バックアップおよびシステム復旧ソフトウェアを専門とするAOMEI社のインフラが、巧妙なサプライチェーン攻撃を受けました。攻撃者は、AOMEI Backupperのアップデートおよび通知サーバーの構成ファイルを改ざんし、ユーザーに気づかれることなくマルウェアを配布することに成功しました。
このキャンペーンは、ManageEngineおよびGoogle Threat Intelligence Group、そしてMandiantの研究チームによって発見されました。報告によると、UNC7017として知られる脅威アクターが、同社のサーバー上の構成ファイルを一時的に改ざんし、数分間だけ差し替えた後に元の状態に戻すことで、攻撃の痕跡を隠蔽する精密な攻撃を実行しました。
攻撃の詳細と配布メカニズム
攻撃者は2026年5月と7月の短く突発的な期間を利用し、チェックサム値を変更することでファイル整合性チェックを回避した改ざん済みの構成ファイルを配布しました。この操作により、ソフトウェアは自動的に悪意のあるコンテンツをダウンロードしました。これにはリモート管理ツール（Radmin）、CROSSROADとして知られる新しいローダー、そしてSHINYROADと呼ばれるバックドアが含まれていました。
このキャンペーンは、米国、オーストラリア、インド、シンガポール、スペイン、スイスなど、複数の国の多様な組織を標的としており、情報通信技術や高等教育などのセクターが含まれていました。攻撃中、攻撃者はシステムを強制的に攻撃者が制御するWebDAVリソースにアクセスさせることで、Windows認証ハッシュ（NTLMハッシュ）の窃取も試みました。
実質的に何が変わるのか
セキュリティ機関は、AOMEI社がサーバーに対して行った修正やシステム更新は将来の新たな感染を防ぐことには寄与するものの、過去の短い露出期間中にユーザーのデバイスに既にインストールされてしまったマルウェアやバックドアを削除するものではないと強調しています。
影響を受けた組織への重要な推奨事項：
- セキュリティ研究チームが公開した侵害指標（IoC）を確認すること。
- 同ソフトウェアを使用しているデバイス上の不審なスケジュールタスクを調査すること。
- AOMEI Backupperのインストールパス内に予期しない実行ファイルが存在しないか確認すること。
- セキュリティレポートで特定された不審なインフラへのアウトバウンドネットワーク通信を監視すること。