短暫竄改設定檔的隱蔽攻擊

Google威脅情報團隊（GTIG）與Mandiant指出，AOMEI Technology的備份軟體AOMEI Backupper在2026年4月至7月間遭遇供應鏈攻擊。駭客並非長時間佔據伺服器，而是多次短暫修改更新檔案的下載網址及MD5雜湊值，每次僅持續約5至10分鐘便恢復原狀。這種手法讓資安人員事後檢查時容易忽略異常，因為看到的往往是正常的設定狀態，大幅增加了追查攻擊痕跡的難度。

後門程式與Radmin異常安裝

攻擊者利用修改後的雜湊值通過檢查，並借助原有通知功能觸發執行，成功投遞CROSSROAD下載器及SHINYROAD後門程式。這波攻擊最初由ManageEngine旗下威脅分析實驗室（METAL）發現。研究人員於5月28日注意到AOMEI Backupper在客戶電腦上異常安裝遠端管理軟體Radmin，但當時無法重現問題。直到7月16日持續監控更新伺服器後，才捕捉到設定檔遭竄改的關鍵證據。

企業應立即清查潛在風險

雖然AOMEI已採取措施強化更新伺服器的安全防護，但這並不代表先前已被植入後門的電腦完全安全。企業IT部門應全面清查是否部署了AOMEI Backupper，並仔細檢查相關電腦是否存在可疑程式、異常排程工作或網路連線。確認這些跡象有助於判斷系統是否曾受到這波供應鏈攻擊的影響，避免潛在的安全漏洞被進一步利用。

資安無小事，短暫的設定檔異動也可能藏著長期的後門風險。