Atak przez aktualizacje AOMEI Backupper: co sprawdzić

Komputery z AOMEI Backupper, popularnym programem do kopii zapasowych, mogły między kwietniem a lipcem 2026 roku same pobrać i uruchomić backdoora, a naprawa serwerów producenta go z nich nie usuwa. Backdoor to ukryty dostęp, przez który atakujący steruje komputerem z zewnątrz. Mechanizm opisały 15 października Google Threat Intelligence Group z Mandiant, a dzień później laboratorium ManageEngine. Atakujący podmieniali na serwerach AOMEI pliki ustawień aktualizacji na 5–10 minut. Każda kopia programu, która akurat wtedy sprawdzała nowości, dostawała złośliwą paczkę. Ślady da się sprawdzić w Windows w kilka minut, bez instalowania czegokolwiek.

Co się stało z aktualizacjami AOMEI Backupper

Atakujący zmieniali dwa małe pliki ustawień, które program regularnie pobiera z serwerów producenta przez szyfrowane połączenie. Pierwszy plik, down_html.ini, podaje wersję paczki, jej adres i sumę kontrolną MD5, czyli “odcisk palca” pliku. Drugi, Notifycfg.ini, mówi modułowi powiadomień, co ma wyświetlić i który plik z katalogu programu uruchomić.

W oknach ataku adres paczki prowadził na serwer napastników, a suma kontrolna pasowała do ich paczki. Według analizy ManageEngine program porównywał więc pobrany plik z sumą, którą podał mu atakujący. Paczka zawierała 232 pliki zwykłych materiałów reklamowych, a między nimi plik upgrade-now.exe bez podpisu cyfrowego. Strona HTML z tej samej paczki sama go uruchamiała.

ManageEngine podkreśla, że nie była potrzebna żadna luka w programie ani działanie użytkownika poza tym, że program był włączony. Raporty nie opisują podmiany instalatora na stronie producenta ani plików samego programu.

Raport Google Threat Intelligence Group i Mandiant (GTIG) nazywa to pierwszym znanym im atakiem na łańcuch dostaw z tak krótkimi oknami. Atak na łańcuch dostaw to włamanie do dostawcy oprogramowania zamiast do samej ofiary. Przy ataku na Bitwarden CLI zainfekowana wersja leżała w sieci 19 godzin. Tutaj złośliwe pliki znikały z serwera po kilku minutach, więc sprawdzenie adresu producenta godzinę później pokazywało czysty plik.

Kiedy serwery AOMEI podawały zmienione pliki

GTIG potwierdziło trzy okna podmiany. Wszystkie wypadły w dni robocze (dwa czwartki i poniedziałek), w czasie polskim rano albo w środku dnia.

To są tylko okna, które ktoś zarejestrował. GTIG pisze wprost, że podmian było prawdopodobnie więcej, a pierwsze próbki złośliwego oprogramowania pochodzą z końca kwietnia. Oba raporty każą więc sprawdzać komputery za cały okres od kwietnia do lipca.

Ofiary były przypadkowe. GTIG wymienia potwierdzone organizacje z branży IT, telekomunikacji i uczelni w 11 krajach, od Australii po USA. Zaznacza jednak, że złośliwą paczkę dostawał każdy komputer, który w tych minutach pytał o aktualizacje. Polski na tej liście nie ma, co niczego nie przesądza: lista obejmuje tylko organizacje widoczne w danych Google, a liczby zainfekowanych komputerów żaden raport nie podaje.

Pierwsza Misja AI · Kodożercy

Zagrożenia AI rozumie ten, kto wie, jak ona działa

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

Co trafiało na komputer: od paczki do backdoora

Paczka uruchamiała program pobierający, który ściągał resztę narzędzi i ustawiał je tak, żeby startowały same. GTIG nazwało go CROSSROAD, a właściwy backdoor SHINYROAD. To złośliwe oprogramowanie typu backdoor: po cichu daje atakującemu zdalny dostęp, możliwość wydawania poleceń i pobierania kolejnego kodu.

Program pobierający zapisywał pliki w folderze %LOCALAPPDATA%\Radmin\ i tworzył w Harmonogramie zadań zadanie RadminComponentRuntime, uruchamiane co trzy godziny. Potem kasował samego siebie. Zadanie startowało prawdziwy, podpisany cyfrowo plik FamItrfc.exe z programu Radmin, a ten wczytywał podrzuconą bibliotekę BlkScrDl.dll z backdoorem.

Radmin to komercyjny program do zdalnego pulpitu, legalnie używany w wielu firmach. Atakujący użyli jego prawdziwego pliku jako przykrywki, bo podpisany program budzi mniej podejrzeń. Dlatego sam Radmin na dysku niczego nie dowodzi. Sygnałem jest folder w danych użytkownika i zadanie o tej konkretnej nazwie.

Od połowy lipca atakujący dokładali drugie narzędzie do zdalnego sterowania, Adaptix C2, przebrane za program Nitro PDF. Zostawia ono zadanie NitroRuntime i folder %LOCALAPPDATA%\Nitro Pro\. Z kolei 20 lipca niewidoczne okienko kazało komputerowi połączyć się z serwerem atakującego i wysłać skrót hasła do konta Windows. Taki skrót można potem próbować złamać. ManageEngine zwraca uwagę, że tę drogę mógł przejść także komputer, na którym program pobierający się nie uruchomił.

Program pobierający był wybredny. Kończył pracę, gdy adres IP wskazywał na Chiny albo gdy nie dało się ustalić lokalizacji, a także po wykryciu określonych programów ochronnych. Jedną z jego próbek ManageEngine znalazł w serwisie VirusTotal, gdzie wszystkie silniki skanujące uznały ją wtedy za nieszkodliwą. Czysty wynik skanu antywirusem nie zastąpi więc ręcznego sprawdzenia śladów.

Dlaczego aktualizacja programu AOMEI nie usuwa backdoora

Backdoor siedzi w osobnym folderze poza katalogiem programu i startuje z własnego zadania w Harmonogramie. Z opisu GTIG wynika więc, że ani instalacja nowej wersji, ani odinstalowanie programu go nie dotyka. GTIG pisze wprost: naprawa po stronie serwera nie czyści komputerów, które pobrały złośliwe pliki wcześniej. Program pobierający przywracał też w lokalnym pliku ustawień oryginalne wartości, żeby katalog programu wyglądał na czysty.

Producent wiedział o sprawie od czerwca. ManageEngine powiadomił AOMEI 7 czerwca. Według laboratorium firma tłumaczyła najpierw, że treść przechwycono i zmieniono po drodze, ale dowody tego nie potwierdziły. Pobranie szło przez szyfrowane połączenie z serwerów AOMEI na dwóch niezwiązanych komputerach w różnych krajach. Mandiant powiadomił AOMEI 17 lipca. 29 lipca firma odpowiedziała, że podjęła działania naprawcze. ManageEngine na dzień publikacji raportu nie zweryfikował, że włamanie opanowano.

Własnego komunikatu AOMEI do 17 października nie znaleźliśmy: nie ma go na stronie głównej producenta ani w liście zmian programu. Wersja 8.5.0 z 9 października wymienia wyłącznie poprawki błędów przy kopiach, klonowaniu, przywracaniu i tworzeniu nośnika startowego, bez słowa o mechanizmie aktualizacji. Nie znaleźliśmy też ostrzeżenia ani instrukcji dla użytkowników.

Jak sprawdzić, czy komputer z AOMEI Backupper ma backdoora

Najmocniejszym śladem jest zadanie w Harmonogramie zadań, bo to ono co trzy godziny uruchamia backdoora. Sprawdzenie zajmuje kilka minut:

1. Otwórz Wiersz polecenia, najlepiej jako administrator, i wpisz schtasks /query /tn RadminComponentRuntime, a potem schtasks /query /tn NitroRuntime. Składnię polecenia opisuje dokumentacja Microsoftu. Na polskim Windows 11 Pro brak zadania kończy się komunikatem “ERROR: Nie można odnaleźć określonego pliku.” i to jest dobra wiadomość. Jeśli polecenie wypisze zadanie, masz ślad.
2. W pasku adresu Eksploratora plików wpisz %LOCALAPPDATA%\Radmin i naciśnij Enter. Potem zrób to samo z %LOCALAPPDATA%\Nitro Pro. Jeśli Windows nie znajdzie folderu, tej części śladów nie ma.
3. Zajrzyj do C:\Program Files (x86)\rserver30. ManageEngine znajdował tam Radmin Server zainstalowany bez adresu serwera i hasła.
4. Otwórz katalog programu (w raportach C:\Program Files (x86)\AOMEI\AOMEI Backupper\ i podfolder z numerem wersji) i sprawdź podfolder html\upgrade-now\.

Jeśli Radmin instalował u ciebie dział IT, zapytaj go, zanim cokolwiek usuniesz. Biblioteka BlkScrDl.dll według ManageEngine nie należy jednak do Radmina, więc jej obecność jest sygnałem niezależnie od tego, kto program zainstalował.

Co dodatkowo sprawdzają firmy

GTIG daje administratorom listę działań, którą przytaczamy punkt po punkcie:

• przeszukać komputery i ruch sieciowy za cały okres od kwietnia do lipca 2026 roku, korzystając ze wskaźników i reguł YARA z raportu; pełna kolekcja jest dla zarejestrowanych użytkowników Google Threat Intelligence,
• sprawdzić katalogi i pliki z tabeli wyżej oraz zadania \NitroRuntime i \RadminComponentRuntime,
• sprawdzić w rejestrze klucz \REGISTRY\MACHINE\SYSTEM\Software\Microsoft\TIP\AggregateResults\data pod kątem nietypowych danych binarnych,
• zablokować połączenia wychodzące do promotion.storage-data.com, aomei.storage-data.com, storage-data.com oraz adresów 8.210.84.56, 47.239.60.117 i 8.218.65.184,
• zablokować wychodzący ruch SMB (port TCP 445) i WebDAV do adresów zewnętrznych, co zamyka drogę wycieku skrótów haseł,
• przejrzeć logi serwera pośredniczącego pod kątem nagłówka Anyviewer-loader/1.0 i zapytań do serv.oss-cn-hongkong.aliyuncs.com,
• przy alarmie zabezpieczyć zawartość katalogów Tmphtml\ i html\ programu i porównać czas alarmu z logami sieci, zamiast sprawdzać adres producenta na żywo.

ManageEngine dodaje, że w przeanalizowanej przez laboratorium próbce SHINYROAD blokada połączeń z serwerem atakującego odcinała jedyny znany kanał sterowania.

Co zrobić, jeśli znajdziesz ślady

Raporty GTIG i ManageEngine są pisane dla zespołów bezpieczeństwa i nie dają instrukcji dla użytkownika domowego. Poniższe kroki to nasza ocena. Opieramy ją na tym, że według ManageEngine backdoor potrafi pobrać i uruchomić nowy kod, więc możliwości znane z próbki to tylko minimum. Podobne kroki CERT Polska zaleca w raporcie rocznym za 2025 rok po infekcji programem wykradającym hasła.

1. Odłącz komputer od internetu: wyjmij kabel sieciowy albo wyłącz Wi-Fi.
2. Z innego, czystego urządzenia zmień hasła do poczty, banku, konta Microsoft i menedżera haseł. Wszędzie, gdzie się da, włącz logowanie dwuskładnikowe.
3. Skopiuj na zewnętrzny dysk dokumenty i zdjęcia, ale nie programy.
4. Nie przywracaj obrazu systemu zrobionego od kwietnia 2026 roku do chwili, w której komputer zostanie wyczyszczony albo zainstalowany od nowa. Taka kopia może zawierać folder z backdoorem i jego zadanie w Harmonogramie.
5. Zainstaluj Windows od nowa z oficjalnego nośnika. Krok po kroku opisujemy to w poradniku o tym, jak zainstalować Windows 11.
6. Jeśli to komputer firmowy, zgłoś incydent działowi IT, a firma może go zgłosić także do CERT Polska przez formularz incydentów.

Samo usunięcie zadania i folderu wyłącza znany mechanizm startu. Nie daje jednak pewności, co atakujący zrobił wcześniej przez zdalny dostęp.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Najczęstsze pytania

Czy AOMEI Backupper jest teraz bezpieczny?

Tego nie wiadomo. AOMEI poinformowało 29 lipca, że podjęło działania naprawcze w swojej infrastrukturze, ale ManageEngine nie zweryfikował, czy włamanie opanowano. Oba raporty opisują słabość w samej konstrukcji programu: nie sprawdzał podpisu cyfrowego plików ustawień. Lista zmian wersji 8.5.0 nie mówi, czy to poprawiono. Instalacja nowej wersji nie zastępuje sprawdzenia komputera z listy wyżej.

Czy atak dotyczy też AnyViewer i AOMEI Partition Assistant?

GTIG pisze, że AnyViewer, program AOMEI do zdalnego pulpitu, korzysta z tego samego mechanizmu aktualizacji co Backupper. ManageEngine radzi sprawdzić komputery z którymkolwiek z tych dwóch programów, choć raporty nie opisują konkretnej infekcji przez AnyViewer. AOMEI Partition Assistant w żadnym z raportów nie występuje.

Podsumowanie

Atak na AOMEI Backupper nie wymagał luki ani kliknięcia. Wystarczyło, że program pobrał w złym momencie podmieniony plik ustawień z serwera producenta. Potwierdzone okna to 28 maja oraz 16 i 20 lipca 2026 roku, ale ślady trzeba sprawdzić za cały okres od kwietnia do lipca. AOMEI deklaruje, że naprawiło serwery, tyle że to nie czyści komputerów, które dostały backdoora wcześniej. Sprawdź zadania RadminComponentRuntime i NitroRuntime oraz foldery Radmin i Nitro Pro w danych użytkownika. W firmie przejrzyj też logi sieci według listy GTIG. Do 17 października nie znaleźliśmy publicznego komunikatu producenta. Jeśli znajdziesz ślad, najpierw odłącz komputer od sieci i zmień hasła z innego urządzenia, a dopiero potem zabieraj się do sprzątania.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.