「AOMEI Backupper」の更新サーバーが短時間改ざん、バックドア配布の被害が発覚

要点

• Windows向けバックアップソフト「AOMEI Backupper」の正規更新サーバーが改ざんされ、利用者にバックドアが配信されていたことが判明した。

• 攻撃は2026年5月から7月にかけ、1回あたり5〜10分という極めて短い時間枠でサーバー上の設定ファイルを書き換えて行われた。

• ソフトウェア本体の脆弱性ではなく、更新ファイルの署名検証の不備とサーバー側のテキスト改ざんを突いた手口だった。

• 侵入後は正規の遠隔管理ツールを隠れ蓑にするマルウェアが動作し、11カ国の企業や高等教育機関などで被害が確認されている。

• Windows向けバックアップソフト「AOMEI Backupper」の正規アップデートサーバーが一時的に改ざんされ、利用者の端末にバックドア（遠隔操作用の不正プログラム）が配信されていたことが明らかになった。Google Threat Intelligence Group（GTIG）傘下のMandiantと、ManageEngineの脅威分析ラボが今週公表した。攻撃者はサーバー上のファイルをわずか数分間だけ書き換え、その間に更新確認を行った端末のみをピンポイントで感染させていたという。

脆弱性を突かず設定ファイルを書き換える手口

AOMEI Backupperは、香港に拠点を置くAOMEI Technologyが開発するWindows向けバックアップおよびディスククローン作成ソフトだ。同ソフトのバックグラウンドサービスは、HTTPS経由で定期的に更新サーバーへ接続し、ソフトウェアの更新や通知ポップアップの有無を確認する設計になっている。

この確認処理は「down_html.ini」と「Notifycfg.ini」の2つの設定ファイルで制御されている。前者は取得する更新パッケージ名と検証用のチェックサム（改ざん検知用の計算値）を指定し、後者は通知の表示内容や実行すべき処理を指示する。しかし、同ソフトはこれらファイルに対して暗号署名による検証を行っておらず、正当性を示すチェックサム自体が未署名のファイル内に書かれていた。そのため、ソフトウェアの脆弱性を突くことなく、サーバー上のテキストファイルを短時間書き換えるだけで悪意あるパッケージを取得・実行させることが可能だった。実行権限はAOMEIのプロセスを引き継ぐため、検証された環境ではシステム全体を掌握できる権限で動作したという。

5〜10分の改ざん枠で検知を逃れる攻撃

GTIGとMandiantによると、確認されたサーバーの改ざん時間枠は以下の3回だった。

• 5月28日：05:40〜05:50 UTC（10分間）
• 7月16日：08:33〜08:39 UTC（6分間）
• 7月20日：10:35〜10:40 UTC（5分間）

攻撃者はこの時間枠内にアクセスした端末にのみ不正ファイルを配信し、前後の時間帯には正規ファイルを提供していた。この手法により、定期検査や自動スキャンによる検知を効果的に回避していたとされる。GTIGは、確認された以外にも同様の改ざん時間枠が存在した可能性が高いとしている。

この攻撃は特定の組織を事前に標的としたものではなく、改ざん中に偶然アクセスした端末を狙う日和見的なものだった。GTIGの観測では、オーストラリア、ブラジル、インド、米国など11カ国のITサービス、電気通信、高等教育機関で被害が確認されている。

正規ツール「Radmin」を隠れ蓑にするマルウェア

端末に取得された不正パッケージは、「CROSSROAD」と呼ばれるダウンローダーによって展開される。CROSSROADは必要なファイルを配置し、3時間ごとに実行されるタスクスケジュールを作成した後に自身をディスクから削除する。

展開されるファイルには、電子署名された商用の正規リモート管理ツール「Radmin」が含まれていた。しかしRadmin本体は稼働せず、スケジュールタスクの起動時に同じフォルダの悪意あるDLL（ライブラリファイル）を読み込ませるための囮として使われていた。これにより最終的に「SHINYROAD」と呼ばれるインプラント（侵入先で活動する不正プログラム）が動作し、遠隔からのコマンド実行や新たなコードの取得を可能にする。通信先は単一のアドレスに固定されており、予備のアドレスを持たないため、該当アドレスを遮断することで攻撃者の制御を絶つことができる。なお、CROSSROADは端末の所在地が中国国内にある場合や、特定のセキュリティ対策ソフトを検知した場合は動作を停止する仕様だった。

サーバー改修と感染端末に残る課題

攻撃グループはGTIGにより「UNC7017」として追跡されているが、特定の国家や既知の攻撃者との関連は特定されていない。調査対象となったBackupperのバージョンは8.3.0だが、影響を受ける全バージョンは公表されていない。なお、同社のリモートデスクトップ「AnyViewer」も同様の更新手順を採用しているが、今回の被害検出はBackupperのみだった。

AOMEI側はサーバーの修正を報告しているが、改ざん時間枠内に不正プログラムを取得してしまった端末からはバックドアが自動で削除されないため、該当する環境では個別の調査と対処が求められている。