Kẻ tấn công chèn backdoor vào AOMEI Backupper qua máy chủ cập nhật
"Attackers compromised AOMEI Backupper update servers between May and July 2026 for short periods to distribute a backdoor. This supply chain attack involved modifying update files to deliver malware to systems checking for updates during those windows. Affected countries include Australia, Brazil, and the US, with the campaign tracked as UNC7017."
Sự cố này cho thấy chuỗi cung ứng phần mềm là một mục tiêu hấp dẫn cho tấn công backdoor. Việc không xác minh tính toàn vẹn của file là một lỗ hổng nghiêm trọng.
Các doanh nghiệp sử dụng AOMEI Backupper có thể gặp rủi ro về mất dữ liệu hoặc bị xâm nhập hệ thống. Việc kiểm tra nhật ký và cập nhật phần mềm là rất quan trọng.
Google Threat Intelligence Group (GTIG), Mandiant và ManageEngine Threat Analysis Lab phát hiện kẻ tấn công thay đổi file trên máy chủ cập nhật của AOMEI Backupper trong khoảng thời gian ngắn từ tháng 5 đến tháng 7 năm 2026. Mục tiêu là chèn backdoor vào các máy tính kiểm tra cập nhật trong những khoảng thời gian này. Các quốc gia bị ảnh hưởng bao gồm Australia, Brazil và Mỹ, chiến dịch này được theo dõi là UNC7017.
AOMEI Backupper là phần mềm sao lưu và nhân bản ổ đĩa cho Windows của AOMEI Technology (Hồng Kông). Phần mềm này có dịch vụ chạy ngầm thường xuyên kiểm tra máy chủ AOMEI để tìm bản cập nhật và quảng cáo. Hai file quan trọng cho việc này là down_html.ini (chỉ định gói cập nhật và checksum) và Notifycfg.ini (điều khiển hiển thị pop-up). Phần mềm không xác minh mật mã cho hai file này, và checksum để kiểm tra tính toàn vẹn nằm trong file không được ký.
Kẻ tấn công chỉ cần thay đổi hai file text trên máy chủ trong vài phút. Khi AOMEI Backupper kiểm tra cập nhật trong khoảng thời gian bị xâm nhập, nó tải gói độc hại về máy. Gói này cài đặt phần mềm trên toàn hệ thống, quyền hạn phụ thuộc vào cách cấu hình dịch vụ AOMEI. GTIG xác định ba khoảng thời gian bị xâm nhập: 28/5/2026 (10 phút), 16/7/2026 (6 phút) và 20/7/2026 (5 phút). Chỉ các máy tính kiểm tra cập nhật trong những khoảng thời gian này mới bị ảnh hưởng.
Phần mềm độc hại tải xuống một công cụ có tên CROSSROAD, giải nén một gói vào thư mục Radmin, tạo tác vụ theo lịch chạy mỗi ba giờ, rồi tự xóa. Gói này bao gồm Radmin (công cụ quản trị từ xa) đã ký, nhưng không được kích hoạt. Quyền truy cập từ xa thực tế đến từ một implant khác. Implant này cung cấp shell truy cập từ xa và có thể tải xuống, thực thi mã mới theo lệnh. Nó liên lạc với một địa chỉ cố định, chặn địa chỉ này sẽ ngăn chặn kiểm soát của kẻ tấn công. Trong một số trường hợp, CROSSROAD còn tải xuống Adaptix C2 framework (nguồn mở) ngụy trang thành Nitro PDF.
Câu hỏi thường gặp
AOMEI Backupper là gì?
AOMEI Backupper là phần mềm sao lưu và nhân bản ổ đĩa cho Windows, được phát triển bởi AOMEI Technology. Phần mềm này cho phép người dùng tạo bản sao lưu hệ thống và dữ liệu để phục hồi trong trường hợp xảy ra sự cố.
Thời gian nào AOMEI Backupper bị tấn công?
Máy chủ cập nhật của AOMEI Backupper bị tấn công trong khoảng thời gian từ tháng 5 đến tháng 7 năm 2026, cụ thể vào ngày 28/5, 16/7 và 20/7. Kẻ tấn công thay đổi file trên máy chủ trong khoảng 5-10 phút mỗi lần.
UNC7017 là gì?
UNC7017 là tên nhóm theo dõi mà Google Threat Intelligence Group (GTIG) sử dụng để xác định kẻ tấn công đứng sau chiến dịch chèn backdoor vào AOMEI Backupper. GTIG hiện chưa xác định được quốc gia hoặc tổ chức cụ thể liên quan đến nhóm này.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự kiện này cho thấy chuỗi cung ứng phần mềm vẫn là một điểm yếu tiềm ẩn. Các doanh nghiệp Việt Nam sử dụng AOMEI Backupper cần kiểm tra nhật ký hệ thống để xác định xem máy tính có tải xuống bản cập nhật trong khoảng thời gian bị xâm nhập hay không. Điều đáng chú ý là kẻ tấn công đã sử dụng kỹ thuật tinh vi để tránh bị phát hiện, bao gồm cả việc sử dụng các file đã ký hợp lệ để che giấu hoạt động độc hại.