شرکت AOMEI، سازنده ابزارهای پشتیبان‌گیری (Backup) برای ویندوز، تأیید کرد که در پی یک حمله زنجیره تأمین (Supply-chain Attack) طولانی‌مدت، هکرها موفق به تسخیر سرورهای به‌روزرسانی (Update Servers) این شرکت شده‌اند. این حمله که بین ماه‌های آوریل تا جولای ادامه داشته، منجر به سرایت بدافزار (Malware) به کاربران شده است.
بر اساس گزارش‌های منتشر شده توسط شرکت‌های امنیتی ManageEngine و Google Threat Intelligence، مهاجمان با تغییر مکرر فایل‌های پیکربندی (Configuration Files) در سرورهای به‌روزرسانی، فرآیند دانلود بدافزار را برای بازه‌های زمانی بسیار کوتاه (چند دقیقه‌ای) فعال می‌کردند. این تکنیک “Short-burst tampering” به گونه‌ای طراحی شده بود که از مکانیزم‌های سنتی اسکن خودکار فایل و تحلیل‌های نقطه‌ای (Point-in-time triage) عبور کرده و از شناسایی شدن توسط سیستم‌های امنیتی جلوگیری کند.
جزئیات تکنیک‌های مورد استفاده
مهاجمان از کانال‌های مربوط به نمایش پاپ‌آپ‌های تبلیغاتی (Promotional Pop-ups) که فاقد احراز هویت (Authentication) برای فایل‌های پیکربندی بودند، سوءاستفاده کردند. علاوه بر این، در یکی از مراحل حمله، مهاجمان از یک پاپ‌آپ نامرئی برای وادار کردن سیستم‌ها به ارسال هش‌های رمز عبور ویندوز (Windows Password Hashes) به سرورهای تحت کنترل خود استفاده کردند؛ تکنیکی که حتی در صورت مسدود شدن خودِ بدافزار نیز می‌تواند کارآمد باشد.
شناسایی عامل تهدید
محققان این فعالیت را تحت نام خوشه تهدید UNC7017 ردیابی می‌کنند. مشخص شده است که بدافزار مورد استفاده، دارای قابلیت تشخیص موقعیت جغرافیایی است و در صورت شناسایی آی‌پی‌های مربوط به چین یا نصب برخی محصولات امنیتی خاص، فعالیت خود را متوقف می‌کند. این ویژگی می‌تواند برای پنهان ماندن از نهادهای قانونی یا گمراه کردن تیم‌های پاسخ به حوادث (Incident Response) باشد.
اقدامات لازم برای سازمان‌ها
کارشناسان هشدار داده‌اند که اصلاح سرورهای AOMEI به معنای پاکسازی سیستم‌های از قبل آلوده نیست. سازمان‌هایی که از نرم‌افزار AOMEI Backupper استفاده می‌کنند، باید به دنبال نشانه‌های نفوذ در بازه زمانی آوریل تا جولای باشند. شرکت AOMEI یک ابزار شناسایی رایگان (Detection Tool) منتشر کرده است و توصیه می‌کند تمامی کاربران سیستم‌های خود را به‌روزرسانی و اسکن کنند.
به‌روزرسانی (اکتبر 20, 2026 — SecurityWeek)
به‌روزرسانی: تحقیقات جدید از جزئیات فنی پیچیده‌تری در حملات زنجیره تأمین (Supply Chain) شرکت AOMEI پرده برداشته است. عامل تهدید (Threat Actor) که با شناسه UNC7017 شناخته می‌شود، از یک متدولوژی بسیار مخفیانه موسوم به “Short-burst” استفاده کرده است. در این روش، مهاجمان تنها برای بازه‌های زمانی بسیار کوتاه (بین ۵ تا ۱۰ دقیقه) فایل‌های به‌روزرسانی را دستکاری می‌کنند تا از شناسایی توسط سیستم‌های امنیتی جلوگیری کنند.
بررسی‌های انجام شده نشان می‌دهد که مهاجمان از کانال محتوای تبلیغاتی (Promotional Content Channel) نرم‌افزار AOMEI برای توزیع بدافزار سوءاستفاده کرده‌اند. در این فرآیند، چندین بدافزار مختلف شناسایی شده است:
- CrossRoad: یک Dropper برای اعتبارسنجی سیستم و آماده‌سازی مراحل بعدی.
- ShinyRoad: یک چارچوب بدافزار (Backdoor) ماژولار برای دسترسی مداوم.
- Adaptix: یک فریم‌ورک C2 (Command and Control) برای مدیریت عملیات پس از نفوذ.
علاوه بر این، یک تکنیک نفوذ جدید نیز مشاهده شده است؛ مهاجمان با جایگزینی یک بنر تبلیغاتی با یک پنجره ۱×۱ پیکسلی، کاربر را مجبور به درخواست یک منبع از راه دور از طریق پروتکل WebDAV می‌کنند. این اقدام منجر به سرقت هش‌های احراز هویت NetNTLMv2 از سیستم‌های قربانی می‌شود. اگرچه شرکت AOMEI ابتدا این گزارش‌ها را رد کرد، اما پس از پیگیری‌های مجدد، اقدامات اصلاحی (Corrective Actions) را آغاز کرده است.
