专门从事备份和系统恢复软件的 AOMEI 公司基础设施遭到了隐蔽的供应链攻击。黑客成功篡改了 AOMEI Backupper 软件的更新和通知服务器配置文件，在用户不知情的情况下分发了恶意软件。
该攻击活动由 ManageEngine、Google 威胁情报小组以及 Mandiant 公司的安全研究部门发现。报告指出，名为 UNC7017 的威胁组织通过临时篡改公司服务器上的配置文件执行了精准攻击，并在仅几分钟后将其恢复原状，以掩盖攻击痕迹。
攻击详情与分发机制
攻击者利用 2026 年 5 月和 7 月期间的短暂时间窗口，通过修改哈希值（Checksum）分发了绕过文件完整性校验的篡改配置文件。这种篡改导致软件自动下载了恶意内容，包括远程管理工具（Radmin）、一种名为 CROSSROAD 的新型加载程序，以及被称为 SHINYROAD 的后门。
此次攻击活动针对美国、澳大利亚、印度、新加坡、西班牙和瑞士等多个国家的各类机构，涵盖了信息通信技术和高等教育等领域。在攻击过程中，黑客还试图通过强制系统访问由其控制的 WebDAV 资源来窃取 Windows 身份验证哈希（NTLM hashes）。
实际影响
安全机构确认，AOMEI 对其服务器进行的修复和系统更新有助于防止未来发生新的感染，但这些措施无法移除在之前短暂暴露窗口期间已安装在用户设备上的恶意软件或后门。
针对受影响机构的重要建议：
- 审查安全研究团队发布的入侵指标（IOC）。
- 检查使用该软件的设备上是否存在可疑的计划任务。
- 核实 AOMEI Backupper 安装路径内是否存在意外的可执行文件。
- 监控任何指向安全报告中指定的、可疑基础设施的出站网络连接。