--- title: "AOMEI Backupper podmieniał pliki aktualizacji. Atakujący dostarczali backdoora" description: "Atakujący wykorzystali serwery aktualizacji AOMEI Backupper do dostarczania backdoora na komputery z systemem Windows. Badacze ostrzegają, że naprawa serwerów nie usuwa skutków infekcji z już zaatakowanych urządzeń." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/aomei-backupper-podmienial-pliki-aktualizacji-atakujacy-dostarczali-backdoora" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/aomei-backupper-podmienial-pliki-aktualizacji-atakujacy-dostarczali-backdoora/index.md" date_published: "2026-10-17T21:39:44.620Z" date_modified: "2026-10-17T21:39:49.737Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "aomei backupper" - "cyberbezpieczeństwo" - "atak na łańcuch dostaw" - "aktualizacje oprogramowania" source_url: "https://thehackernews.com/2026/10/attackers-tampered-with-aomei.html" source_name: "The Hacker News" --- # AOMEI Backupper podmieniał pliki aktualizacji. Atakujący dostarczali backdoora > Atakujący podmieniali pliki aktualizacji AOMEI Backupper. W wybranych oknach program pobierał backdoora, a serwerowa naprawa nie czyściła komputerów. ## Kluczowe informacje - Pliki aktualizacji AOMEI Backupper były podmieniane na kilka minut między majem a lipcem 2026 roku. - Kampania nie wykorzystywała luki w programie ani działania użytkownika, wystarczało uruchomione oprogramowanie. - Zainfekowane komputery mogły otrzymać narzędzia zdalnego dostępu i backdoora. - Organizacje powinny sprawdzić logi oraz pliki z okresu od kwietnia do lipca, nawet jeśli serwery AOMEI zostały już naprawione. Atakujący wielokrotnie podmieniali pliki pobierane przez AOMEI Backupper z serwerów producenta. Zmiany były widoczne tylko przez około pięć do dziesięciu minut, w różnych oknach od maja do lipca 2026 roku. Kopia programu, która sprawdziła aktualizacje w takim momencie, mogła pobrać i uruchomić złośliwy backdoor. Kampanię opisali badacze z Google Threat Intelligence Group, Mandiant oraz ManageEngine Threat Analysis Lab. To kompromitacja łańcucha dostaw, w której zaufany kanał aktualizacji został użyty do dostarczenia szkodliwych komponentów. ## Zaufany mechanizm aktualizacji stał się kanałem ataku AOMEI Backupper opiera ten proces między innymi na dwóch plikach konfiguracyjnych. Jeden wskazuje pakiet do pobrania i sumę kontrolną, a drugi określa treść powiadomienia oraz akcję, która ma zostać wykonana. Badacze ustalili, że pliki te nie były kryptograficznie weryfikowane. Co więcej, suma mająca potwierdzać autentyczność pakietu znajdowała się w tym samym niepodpisanym pliku, który wskazywał pobierane dane. Według ManageEngine nie wykorzystano podatności w samym programie i nie było potrzebne żadne działanie użytkownika poza posiadaniem uruchomionej aplikacji. Wystarczyło, że napastnik zmienił dwa pliki tekstowe na serwerze AOMEI. Program sprawdzający aktualizacje w czasie trwania takiego okna pobierał wskazany pakiet do własnego katalogu, a zmodyfikowany plik powiadomień powodował jego uruchomienie. Złośliwy kod działał z uprawnieniami procesu AOMEI. Na części analizowanych komputerów pozwalało to instalować oprogramowanie w całym systemie, choć zakres uprawnień zależał od sposobu uruchomienia usługi. ## Kampania była krótka, ale trudna do wykrycia GTIG i Mandiant potwierdziły trzy okna podmiany, zaznaczając, że mogło być ich więcej. System, który sprawdził serwer przed takim oknem albo po jego zakończeniu, otrzymywał prawidłowe pliki. Taki schemat ograniczał ślady i utrudniał analizę po fakcie. GTIG określiła działanie jako oportunistyczne, ponieważ trafiało ono do dowolnych urządzeń, które akurat wykonały kontrolę aktualizacji. Z telemetrii grupy wynika, że dotknięte organizacje działały w sektorach usług IT, telekomunikacji i szkolnictwa wyższego w 11 państwach: Australii, Brazylii, Indiach, Pakistanie, Portugalii, Singapurze, Republice Południowej Afryki, Hiszpanii, Szwajcarii, Turcji i Stanach Zjednoczonych. Badacze nie podali łącznej liczby poszkodowanych i oceniają, że rzeczywista skala może być większa. Raporty nie wskazują też wszystkich podatnych wersji programu. Laboratorium analizowało wersję 8.3.0. ## Jak działał dostarczony pakiet Zdalną kontrolę zapewniał osobny implant. Zadanie uruchamiało podpisany program, który ładował umieszczoną obok bibliotekę napastnika, a ta z kolei uruchamiała SHINYROAD. Implant zapewniał zdalną powłokę oraz możliwość pobierania i uruchamiania kolejnego kodu na polecenie operatora. Łączył się z jednym zapisanym na stałe adresem, dlatego zablokowanie tego połączenia mogło przerwać kontrolę nad urządzeniem. CROSSROAD nie działał na każdej maszynie. Sprawdzał między innymi lokalizację urządzenia i obecność wybranych agentów bezpieczeństwa, a w określonych warunkach kończył działanie. Na części komputerów GTIG wykryła później kolejne narzędzie, framework C2 Adaptix, przedstawiany jako oprogramowanie Nitro PDF. W oknie obserwowanym 20 lipca pojawił się także inny wariant działania, który nie wymagał uruchomienia programu. Zmieniony plik powiadomienia otwierał niewidoczne okno wskazujące plik na serwerze napastnika przez protokół WebDAV. Samo przetworzenie takiego odwołania mogło skłonić system Windows do wysłania odpowiedzi NetNTLMv2 pod adres atakującego. Oznacza to, że komputer z zablokowanym backdoorem nadal mógł ujawnić materiał uwierzytelniający, jeśli otrzymał złośliwy plik powiadomienia. - Podmiana odbywała się po stronie serwerów aktualizacji i obejmowała krótkie, powtarzające się okna. - Do pobrania pakietu wystarczało działające AOMEI Backupper, bez klikania przez użytkownika i bez wykorzystania luki w aplikacji. - Na zbadanych urządzeniach instalowany zestaw mógł zapewnić zdalną powłokę i pobieranie kolejnego kodu. - Zablokowanie serwerów producenta nie usuwa komponentów, które wcześniej trafiły na komputery. ## Sama naprawa serwerów nie wystarczy Organizacje korzystające z oprogramowania AOMEI powinny przeprowadzić wyszukiwanie obejmujące cały okres od kwietnia do lipca. Warto sprawdzić zadania zaplanowane, nietypowe biblioteki i pliki powiązane z katalogiem Radmin, a także połączenia wychodzące odpowiadające aktywności implantów. W ramach ograniczania ryzyka badacze wskazują na blokowanie wychodzącego SMB na porcie TCP 445 oraz WebDAV do zewnętrznych adresów. GTIG opublikowała reguły YARA, a laboratorium ManageEngine reguły Sigma. Są to zestawy przygotowane przez autorów raportów i nie zostały niezależnie przetestowane przez redakcję. ## Producent nie wskazał jeszcze wersji zamykającej problem Mandiant przekazał AOMEI informacje o kampanii i wskaźniki kompromitacji 17 lipca. Firma poinformowała 29 lipca o podjęciu działań naprawczych, lecz w chwili publikacji raportu ManageEngine nie potwierdziło niezależnie, że kompromitacja została całkowicie opanowana. Raporty nie wyjaśniają, w jaki sposób napastnicy uzyskali możliwość modyfikowania plików na serwerach. Sprawdzony przez The Hacker News changelog aktualnej wersji 8.5.0, wydanej 9 października, nie wskazywał zmiany sposobu weryfikacji aktualizacji. Nie podano również wersji, która usuwałaby opisywany problem. Dlatego najważniejszym działaniem pozostaje sprawdzenie już używanych komputerów, a nie tylko obserwowanie, czy serwery producenta obecnie zwracają prawidłowe pliki. ## Wyjaśnienie pojęć ### [backdoor](https://najnowsze-informacje.pl/definicje/backdoor) Ukryty mechanizm zapewniający nieuprawniony dostęp do systemu lub urządzenia. Backdoor może umożliwiać zdalne wykonywanie poleceń, przesyłanie plików albo dalsze zarządzanie zainfekowanym środowiskiem. ### [Atak na łańcuch dostaw](https://najnowsze-informacje.pl/definicje/atak-na-lancuch-dostaw) Atak, w którym napastnik wykorzystuje zaufane oprogramowanie, usługę lub dostawcę, aby dotrzeć do użytkowników jego produktu. ### [WebDAV](https://najnowsze-informacje.pl/definicje/webdav) Rozszerzenie HTTP umożliwiające pracę ze zdalnymi plikami tak, jakby znajdowały się w lokalnym systemie plików. ### [NetNTLMv2](https://najnowsze-informacje.pl/definicje/netntlmv2) Odpowiedź uwierzytelniająca systemu Windows, którą napastnik może próbować łamać poza zaatakowanym komputerem lub wykorzystać ponownie. ## Źródło pierwotne [The Hacker News](https://thehackernews.com/2026/10/attackers-tampered-with-aomei.html) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-10-17T21:39:44.620Z - **Ostatnia aktualizacja:** 2026-10-17T21:39:49.737Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/aomei-backupper-podmienial-pliki-aktualizacji-atakujacy-dostarczali-backdoora](https://najnowsze-informacje.pl/cyberbezpieczenstwo/aomei-backupper-podmienial-pliki-aktualizacji-atakujacy-dostarczali-backdoora) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/aomei-backupper-podmienial-pliki-aktualizacji-atakujacy-dostarczali-backdoora/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/aomei-backupper-podmienial-pliki-aktualizacji-atakujacy-dostarczali-backdoora/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „AOMEI Backupper podmieniał pliki aktualizacji. Atakujący dostarczali backdoora”, 2026-10-17, https://najnowsze-informacje.pl/cyberbezpieczenstwo/aomei-backupper-podmienial-pliki-aktualizacji-atakujacy-dostarczali-backdoora