Az AOMEI Backupper frissítésszervereiről jutott kártevő a gépekre
A gyártó szervereinek helyreállítása nem tisztítja meg azokat a gépeket, amelyek már letöltötték a támadók kártevőjét. Az AOMEI Backupper frissítésszervereiről 2026 májusa és júliusa között rövid időablakokban terjesztettek rosszindulatú fájlokat; a kutatók 11 országban azonosítottak érintett szervezeteket.
A frissítés keresése közben érkezett a fertőzés
A támadók ismételten átírták azokat a fájlokat, amelyeket a Windows biztonsági mentésére szolgáló AOMEI Backupper a gyártó kiszolgálóiról kér le. A manipulált tartalom alkalmanként mindössze 5-10 percig volt elérhető, elszórt napokon. Egy-egy ilyen időszakban csak kevés telepítés fertőződött meg.
A beszámoló szerint ugyanakkor a program bármely verziója letöltötte és futtatta a kártevőt, ha éppen ezekben az időablakokban keresett frissítést. A terjesztéshez a szoftver beépített reklámfunkcióját használták fel. A 232 fájlból álló reklámcsomagon belül az „upgrade-now.html” indított el egy hozzá kapcsolódó futtatható állományt, az alkalmazás saját tartalommegjelenítési folyamatán keresztül.
A támadássorozatot a Google Threat Intelligence Group és a Mandiant UNC7017 néven követi. A kártevőt telepítő összetevő a CROSSROAD, a hátsó kapu pedig a SHINYROAD nevet kapta.
Egy Radmin-telepítés vezette nyomra a kutatókat
Az eset 2026. május 28-án keltett figyelmet: a ManageEngine végpontvédelmi rendszere azt észlelte, hogy az AOMEI Backupper a Radmin nevű kereskedelmi távfelügyeleti eszközt telepíti. Ugyanabban az időablakban egy másik országban, egy független ügyfél gépén is megjelent ugyanez a végrehajtási lánc.
Az akkor megfigyelt telepítő kártevő törölte magát. Fájlkivonatára a VirusTotal nem adott találatot; a megfelelő mintát később a benne szereplő termékazonosító szöveg alapján találták meg.
A vizsgálat eredményeit a Google Threat Intelligence Group és a Mandiant október 15-én ismertette. A ManageEngine kutatói a Google csapatával összehangoltan szintén beszámoltak az esetről.
Magyar érintettet nem nevez meg a beszámoló
A rendelkezésre álló megfigyelések informatikai szolgáltatóknál, távközlési vállalatoknál, felsőoktatási intézményeknél és hozzájuk kapcsolódó szervezeteknél mutatták ki a támadást. Az érintett országok: Ausztrália, Brazília, India, Pakisztán, Portugália, Szingapúr, Dél-Afrika, Spanyolország, Svájc, Törökország és az Egyesült Államok.
Magyarországot a beszámoló nem említi. A kampány azonban minden olyan rendszert célzott, amely a manipuláció idején lekérdezte a frissítéseket terjesztő kiszolgálókat. A forrás ezért valószínűnek tartja, hogy az áldozatok köre szélesebb a biztonsági cégek által közvetlenül azonosított szervezetekénél.
A szerveroldali javítás után is ellenőrizni kell a gépeket
Az AOMEI Technology június 7-én kapott értesítést a ManageEngine csapatától, illetve külön a Google Threat Intelligence Group és a Mandiant részéről. A vállalat ezt követően arról számolt be, hogy helyreállító intézkedéseket tett az infrastruktúrájában, és szerverei ismét biztonságosak.
A ManageEngine figyelmeztetése szerint ez nem távolítja el a korábban célba juttatott kártevőt a helyi számítógépekről. Az AOMEI Backupper programot használó cégeknek és felhasználóknak ezért saját környezetüket is ellenőrizniük kell, nem elegendő a gyártó javítására hagyatkozniuk.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum