5到10分钟窗口，备份软件更新服务器被改成了后门通道

攻击者反复修改了 AOMEI Backupper 从厂商自家更新服务器上拉取的文件，每次只改五到十分钟。在 2026年5月到7月之间，任何一份恰好在这几个窗口里检查更新的 Windows 备份程序，都会下载并运行一个后门。

Google 威胁情报组、Mandiant 和 ManageEngine 威胁分析实验室本周披露了这起攻击活动。三家机构称，AOMEI 已报告修复了服务器，但这次修复并不能从已经被感染的机器上移除后门。

AOMEI Backupper 是 AOMEI Technology 出品的 Windows 备份与磁盘克隆软件，厂商注册在香港。和该公司的远程桌面工具 AnyViewer 一样，它运行后台服务，定期通过 HTTPS 向 AOMEI 的服务器检查软件更新和推广弹窗。

驱动这个检查的是两个文件。一个叫 down_html.ini，指定要下载的更新包以及程序用来校验它的校验和。另一个叫 Notifycfg.ini，告诉弹窗服务显示什么、运行什么。

程序对这两个文件都不做加密验证，而那个本该证明下载包真实性的校验和，就写在指定它的同一个未签名文件里。

ManageEngine 实验室指出，软件本身没有任何东西被利用。没有漏洞，除了程序已安装并运行之外，不需要用户做任何操作。攻击者只需要在服务器上改两个文本文件，改几分钟。

一份在窗口期内签到的 Backupper 会把攻击者的包拉进自己的文件夹，然后通知文件让它运行起来。它以启动它的 AOMEI 进程的权限运行。在实验室检查的机器上，这足以在整个系统范围内安装软件，不过实验室表示提权程度取决于 AOMEI 服务的运行方式。

三个窗口，十一个国家

GTIG 和 Mandiant 确认了三个篡改窗口，并表示很可能还有更多没被看到：

• 2026年5月28日：10分钟窗口，05:40 至 05:50 UTC
• 2026年7月16日：6分钟窗口，08:33 至 08:39 UTC
• 2026年7月20日：5分钟窗口，10:35 至 10:40 UTC

只有在窗口期内检查更新的副本才会受影响。窗口之前或之后检查的副本拿到的是干净的、真实的文件，这正是这次攻击难以被发现的原因。GTIG 将这种目标选择描述为机会主义，打中的是恰好在那几分钟内轮询的任何系统。

根据自身遥测数据，GTIG 识别出受影响组织分布在 11个国家的 IT 服务、电信和高等教育行业：澳大利亚、巴西、印度、巴基斯坦、葡萄牙、新加坡、南非、西班牙、瑞士、土耳其和美国。它没有给出总数，并表示真实数字可能更高。

GTIG 点名 AOMEI 的远程桌面工具 AnyViewer 使用了相同的更新流程，但它描述的检测涉及的是 Backupper。两份报告都没有列出哪些 Backupper 版本受影响，实验室检查的是 8.3.0 版本。

GTIG 将幕后组织追踪为 UNC7017，没有点名任何国家或已知行为体。它表示，这是它遇到的第一个建立在 Windows 上、持续时间如此之短的供应链入侵，"有效规避了传统的时点式排查和自动化文件扫描"。

落到机器上的东西

在拉取了包的机器上，一个 GTIG 称为 CROSSROAD 的下载器把一个捆绑包解压到本地 Radmin 文件夹，创建一个每三小时运行一次的计划任务，然后把自己从磁盘上删除。

捆绑包里包含一份真实的、已签名的 Radmin 商业远程管理工具副本。ManageEngine 实验室发现它被放置到位但从未启用，没有监听器、没有配置、没有新账户。远程控制反而来自一个单独的回连攻击者的植入体。

计划任务运行已签名的 Radmin 程序，该程序加载放在它旁边的一个攻击者构建的 DLL，这个 DLL 又加载 SHINYROAD 植入体。该植入体提供远程 shell，并能按命令获取和运行新代码。它与一个硬编码地址通信，没有备用地址，所以封掉那一个地址就能切断攻击者的控制。

CROSSROAD 只在部分地方运行。它会检查机器所在位置，如果在中国就停止，ManageEngine 补充说，如果发现主机上有特定的安全代理，它也会停止。在通过检查的机器上，GTIG 后来看到第二个工具被推送到 SHINYROAD 之上，即开源的 Adaptix C2 框架，伪装成 Nitro PDF 软件。

7月20日一次不需要运行代码的改动

7月20日的窗口包含第二个不需要运行任何程序的把戏。GTIG 发现通知文件被改成打开一个不可见的一像素弹窗，通过 WebDAV 指向攻击者服务器上的一个文件——WebDAV 是一种把远程文件当作本地磁盘文件访问的方式。

渲染这个弹窗可以让 Windows 把已登录用户的 NetNTLMv2 认证响应发送到攻击者地址，用户什么都看不到。这个令牌可以被攻击者离线破解或重用。因为不需要运行任何程序，即使后门被拦截的机器也可能泄露该令牌。

AOMEI 被告知了什么，何时被告知

ManageEngine 实验室表示，其端点软件在5月28日首次捕获该活动，当时记录到 AOMEI Backupper 在两个不同国家的两个不相关客户机器上安装 Radmin。6月7日有客户提出此事，实验室当天通知了 AOMEI。AOMEI 的第一份解释是内容在传输途中被拦截并篡改。

实验室表示证据不支持这一解释。两台机器都是通过 HTTPS 从 AOMEI 自家服务器拉取文件，跨越不同国家和网络，程序是通过正常更新步骤拉入包的。7月中旬，其监控在窗口发生时捕获到其中一个，确认改动是从 AOMEI 一侧提供的。

Mandiant 于7月17日通知 AOMEI 并分享了指标。AOMEI 于7月29日告诉 Mandiant，它已采取纠正措施保护服务器。ManageEngine 实验室表示，截至发稿，它尚未独立确认入侵已被控制。

两份报告都没有说明攻击者是如何获得修改 AOMEI 服务器文件的能力的。AOMEI 公开的 Backupper 更新日志（The Hacker News 于10月16日查看）显示，直到当前版本 8.5.0（10月9日发布）都没有对程序验证更新的方式做出任何改动。两份报告都没有指出哪个版本堵上了这个缺口。

现在该检查什么

服务器修好了，不等于被感染的机器干净了。下载器建立计划任务后，把本地更新文件恢复成真实内容，所以一台被感染的机器看起来可能很正常，厂商的下载页面看起来也很干净。GTIG 和 ManageEngine 都敦促运行 AOMEI 软件的组织在整个4月到7月期间进行排查。

GTIG 和 Mandiant 表示："运行 AOMEI 软件的组织不能仅仅因为厂商采取了服务器端纠正措施就假设自己受到了保护。"

不要通过现在查看厂商下载页面来判断告警。因为文件在几分钟内就改回去了，那个页面几乎一直提供真实内容，这导致分析师把真实检测当成误报忽略。保留程序自己文件夹里缓存的文件，并检查网络日志中告警触发那一刻实际提供的内容。

在端点上排查：

• 计划任务：RadminComponentRuntime，或后续工具的 NitroRuntime
• 文件：带有 AOMEI 发布者信息的未签名 upgrade-now.exe，或任何从 Backupper 的 html 弹窗文件夹运行的程序
• 文件夹：暂存在本地 Radmin 应用数据文件夹下的攻击者文件

在网络侧，封堵两份报告中点名的攻击者基础设施，并封堵出站 SMB（TCP 445）和到外部地址的 WebDAV，以阻止凭证窃取手法：

• 域名：storage-data[.]com、promotion.storage-data[.]com、aomei.storage-data[.]com
• IP：8.210.84[.]56、8.218.65[.]184、47.239.60[.]117

GTIG 和 ManageEngine 各自随报告发布了检测规则，GTIG 提供 YARA 规则，实验室提供 Sigma 规则。两套规则都是研究人员自己的，未经 The Hacker News 测试。