新聞

Google威脅情報團隊（GTIG）與Mandiant近日揭露一起針對AOMEI Technology軟體更新基礎設施的供應鏈攻擊。攻擊者在2026年4月至7月間，透過備份軟體AOMEI Backupper的更新機制投遞惡意程式。研究人員觀測到，攻擊者曾多次短暫竄改伺服器設定檔，每次持續約5至10分鐘，隨後恢復原狀，讓資安人員事後檢查時可能只看到正常設定，增加追查攻擊的難度。

攻擊者竄改AOMEI伺服器提供的設定檔，變更更新檔案的下載網址及MD5雜湊值，讓軟體下載遭置換的惡意檔案並通過雜湊值檢查，再利用原有的通知功能觸發執行，藉此投遞CROSSROAD下載器及SHINYROAD後門程式。這波攻擊最初由ManageEngine旗下威脅分析實驗室（METAL）發現，研究人員在5月28日發現AOMEI Backupper在客戶電腦上異常安裝遠端管理軟體Radmin，但當時無法重現問題。研究人員隨後持續監控更新伺服器，直到7月16日才捕捉到設定檔遭竄改的情況。

AOMEI表示已採取措施強化更新伺服器的安全防護，但伺服器端的改善不代表先前遭植入後門的電腦已經安全。企業應清查是否部署AOMEI Backupper，並檢查相關電腦是否有可疑程式、異常排程工作或網路連線，以確認是否曾受到這波攻擊影響。