گزارش‌های گروه هوش تهدید گوگل (GTIG) نشان می‌دهد که مهاجمان زیرساخت‌های به‌روزرسانی و اطلاع‌رسانی شرکت AOMEI Technology را در بازه‌ای بین ماه‌های آوریل تا جولای مورد هدف قرار داده و تسخیر کرده‌اند. نرم‌افزار AOMEI Backupper که ابزاری برای پشتیبان‌گیری (Backup) است، توسط بیش از ۱۰۰ میلیون کاربر در سراسر جهان استفاده می‌شود.
مهاجمان با تغییر موقت زیرساخت‌های به‌روزرسانی، دستورالعمل‌های دانلود نرم‌افزار را تغییر دادند تا کاربران به جای نسخه اصلی، یک فایل ZIP مخرب را دانلود و اجرا کنند. برای دور زدن مکانیزم‌های امنیتی، آن‌ها شماره نسخه (Version Number) و چک‌سام MD5 را نیز تغییر دادند تا کلاینت فایل مخرب را به عنوان یک آپدیت معتبر بپذیرد. این حملات در بازه‌های زمانی بسیار کوتاه (بین ۵ تا ۱۰ دقیقه) انجام شده‌اند که شناسایی آن‌ها را برای تیم‌های امنیتی دشوارتر می‌کند.
جزئیات فنی و نحوه عملکرد حمله
- روش حمله: استفاده از یک Downloader اولیه برای نصب یک Backdoor جهت دسترسی از راه دور (Remote Access).
- نوع بدافزار: اگرچه بدافزار مستقیماً به عنوان باج‌افزار (Ransomware) یا ابزار سرقت اطلاعات (Infostealer) طبقه‌بندی نشده، اما این بک‌دور به مهاجمان اجازه می‌دهد دستورات خود را اجرا کرده و بدافزارهای بیشتری را روی سیستم نصب کنند.
- پاکسازی خودکار: فایل دانلودر اولیه پس از اجرای مرحله استقرار (Staging) و ایجاد پایداری (Persistence)، خود را از سیستم حذف می‌کند که این امر می‌تواند فرآیند شناسایی را پیچیده کند.
نشانه‌های آلودگی و اقدامات لازم
اگر در بازه زمانی مذکور از نرم‌افزارهای AOMEI استفاده کرده‌اید، توصیه می‌شود بلافاصله سیستم خود را اسکن کنید. نشانه‌های زیر را در سیستم خود بررسی کنید:
- Task Scheduler: بررسی کتابخانه Task Scheduler برای یافتن تسکی با نام
RadminComponentRuntime. - فایل‌های مشکوک: جستجوی فایل‌های بدون امضا (Unsigned) مانند
upgrade-now.exeیا فایل‌هایupgrade-now.zipدر پوشه نصب AOMEI Backupper. - ترافیک شبکه: مانیتورینگ ترافیک خروجی به سمت دامنه‌ها یا آی‌پی‌های زیر:
promotion.storage-data.com،aomei.storage-data.com،8.210.84.56،47.239.60.117و8.218.65.184.
در صورت مشاهده هر یک از این موارد، توصیه می‌شود سیستم را فوراً از شبکه جدا کرده و با تیم امنیت یا متخصصین IT تماس بگیرید.
به‌روزرسانی (اکتبر 20, 2026 — databreachtoday.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که عامل تهدید (threat actor) با نام UNC7017 مسئول این حمله زنجیره تأمین (supply chain attack) است. علاوه بر نرم‌افزار Backupper، محصول AnyViewer نیز تحت تأثیر این حمله قرار گرفته است.
مهاجمان با دستکاری دو فایل پیکربندی کلیدی، یعنی down_html.ini و Notifycfg.ini، فرآیند به‌روزرسانی را منحرف کردند. فایل اول مسیر دانلود بسته‌های به‌روزرسانی را تعیین می‌کند و فایل دوم وظیفه نمایش پیام‌ها و اجرای برنامه‌های محلی را بر عهده دارد. از آنجایی که این فایل‌ها فاقد احراز هویت رمزنگاری‌شده (cryptographic authentication) هستند، مهاجمان توانستند با تغییر آن‌ها، سیستم را مجبور به دانلود و اجرای مستقیم بدافزار کنند.
یکی از نکات برجسته این حمله، استفاده از تکنیک “Short Burst” یا تغییرات گذرا در پیکربندی است. مهاجمان تنظیمات سرور را تنها برای بازه‌های زمانی بسیار کوتاه (بین ۵ تا ۱۰ دقیقه) تغییر می‌دادند و سپس آن را به حالت عادی بازمی‌گرداندند؛ این روش باعث می‌شود ابزارهای اسکن خودکار و تحلیل‌های نقطه‌ای (point-in-time triage) نتوانند فعالیت مخرب را شناسایی کنند.
در جریان این حمله، بدافزار Crossroad به عنوان دانلودر اولیه عمل کرده و ابزار مدیریت از راه دور Radmin را برای ایجاد دسترسی پایدار نصب می‌کند. همچنین بدافزار Shinyroad از طریق تکنیک DLL search-order hijacking در داخل فرآیندهای معتبر ویندوز اجرا می‌شود تا ارتباط با سرورهای فرماندهی و کنترل (C2) را پنهان کند. با وجود اصلاح سرورها توسط AOMEI، سازمان‌ها باید به دنبال نشانه‌های سرایت در سیستم‌های خود باشند، زیرا اصلاح سمت سرور، سیستم‌های آلوده شده را پاکسازی نمی‌کند.
