เซิร์ฟเวอร์อัปเดต AOMEI Backupper ถูกแก้ไฟล์ทีละ 5-10 นาที ส่งแบ็กดอร์ SHINYROAD — Google และ ManageEngine พบเหยื่อใน 11 ประเทศ รวมสิงคโปร์

สรุปสั้น

Google Threat Intelligence Group (GTIG), Mandiant และ Threat Analysis Lab ของบริษัท ManageEngine เปิดเผยการโจมตีห่วงโซ่อุปทานที่ผู้โจมตีแก้ไฟล์ซึ่งโปรแกรมแบ็กอัป AOMEI Backupper ดึงจากเซิร์ฟเวอร์อัปเดตของผู้ผลิตเอง เป็นช่วงสั้น ๆ ครั้งละ 5 ถึง 10 นาทีระหว่างพฤษภาคมถึงกรกฎาคม 2569 โปรแกรมที่เช็กอัปเดตตรงช่วงนั้นจะดาวน์โหลดและรันแบ็กดอร์ทันที ส่วนเครื่องที่เช็กก่อนหรือหลังจะได้ไฟล์ปกติ จึงจับได้ยากมาก GTIG ติดตามกลุ่มผู้โจมตีในชื่อ UNC7017 โดยไม่ระบุประเทศหรือกลุ่มที่รู้จัก และระบุว่าเป็นการโจมตีห่วงโซ่อุปทานครั้งแรกที่พบซึ่งใช้ช่วงเวลาสั้นขนาดนี้

การโจมตีไม่ได้ใช้ช่องโหว่ใด ๆ และไม่ต้องให้ผู้ใช้ทำอะไรนอกจากติดตั้งโปรแกรมไว้ เพราะโปรแกรมไม่ตรวจลายเซ็นของไฟล์คอนฟิกอัปเดต GTIG พบองค์กรเหยื่อในภาคบริการไอที โทรคมนาคม และอุดมศึกษาใน 11 ประเทศ รวมถึงสิงคโปร์ AOMEI แจ้งว่าแก้ไขเซิร์ฟเวอร์แล้ว แต่การแก้ฝั่งเซิร์ฟเวอร์ไม่ได้ลบแบ็กดอร์ออกจากเครื่องที่ติดไปแล้ว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า AOMEI Backupper เป็นซอฟต์แวร์แบ็กอัปและโคลนดิสก์บน Windows ของบริษัท AOMEI Technology ที่จดทะเบียนในฮ่องกง ทำงานเป็นบริการเบื้องหลังที่เช็กเซิร์ฟเวอร์ของ AOMEI ผ่าน HTTPS เป็นประจำเพื่อหาอัปเดตและป๊อปอัปโปรโมชัน GTIG และ Mandiant ยืนยันช่วงเวลาที่ไฟล์ถูกแก้ 3 ช่วง และเชื่อว่าน่าจะมีมากกว่านี้

ประเทศที่พบองค์กรเหยื่อได้แก่ ออสเตรเลีย บราซิล อินเดีย ปากีสถาน โปรตุเกส สิงคโปร์ แอฟริกาใต้ สเปน สวิตเซอร์แลนด์ ตุรกี และสหรัฐฯ GTIG ไม่ได้ระบุจำนวนรวมและเชื่อว่าตัวเลขจริงสูงกว่านี้ ทั้งนี้โปรแกรมควบคุมเครื่องระยะไกล AnyViewer ของ AOMEI ใช้กลไกอัปเดตเดียวกัน แต่การตรวจพบที่รายงานเกี่ยวข้องกับ Backupper เท่านั้น และไม่มีรายงานใดระบุเวอร์ชันที่ได้รับผลกระทบ (ManageEngine ตรวจสอบเวอร์ชัน 8.3.0)

ManageEngine ตรวจพบครั้งแรกเมื่อ 28 พฤษภาคม และแจ้ง AOMEI เมื่อ 7 มิถุนายน ซึ่ง AOMEI อธิบายในตอนแรกว่าเนื้อหาถูกดักแก้ระหว่างทาง แต่หลักฐานไม่สนับสนุน เพราะเครื่องเหยื่อดึงไฟล์ผ่าน HTTPS จากเซิร์ฟเวอร์ของ AOMEI เองข้ามประเทศและเครือข่าย และกลางเดือนกรกฎาคม ระบบเฝ้าระวังของ ManageEngine จับช่วงที่ไฟล์ถูกแก้ได้ขณะเกิดขึ้นจริง Mandiant แจ้ง AOMEI เมื่อ 17 กรกฎาคม และ AOMEI ตอบเมื่อ 29 กรกฎาคมว่าได้แก้ไขแล้ว แต่ ManageEngine ยังไม่ได้ยืนยันอย่างอิสระว่าสกัดการบุกรุกได้จริง ยังไม่มีรายงานว่าผู้โจมตีได้สิทธิ์แก้ไฟล์บนเซิร์ฟเวอร์ได้อย่างไร และ changelog ล่าสุด (8.5.0 วันที่ 9 ตุลาคม) ไม่มีการเปลี่ยนวิธีตรวจสอบอัปเดต

วิธีการโจมตี

การเช็กอัปเดตอาศัยไฟล์ 2 ไฟล์ คือ down_html.ini ที่ระบุแพ็กเกจอัปเดตและ checksum สำหรับตรวจสอบ และ Notifycfg.ini ที่บอกบริการป๊อปอัปว่าจะแสดงและรันอะไร ทั้งสองไฟล์ไม่มีการตรวจลายเซ็นเข้ารหัส และ checksum ที่ควรพิสูจน์ความถูกต้องของไฟล์ดาวน์โหลดก็อยู่ในไฟล์เดียวกันที่ไม่มีลายเซ็น ผู้โจมตีจึงแก้เพียงไฟล์ข้อความ 2 ไฟล์บนเซิร์ฟเวอร์

1. โปรแกรมดึงแพ็กเกจของผู้โจมตีมาไว้ในโฟลเดอร์ตัวเอง แล้วไฟล์แจ้งเตือนสั่งให้รัน ด้วยสิทธิ์ของโพรเซส AOMEI ซึ่งในเครื่องที่ตรวจสอบเพียงพอสำหรับติดตั้งซอฟต์แวร์ทั้งระบบ
2. ตัวดาวน์โหลด CROSSROAD แตกไฟล์ลงโฟลเดอร์ Radmin ในเครื่อง สร้าง scheduled task ให้รันทุก 3 ชั่วโมง คืนไฟล์อัปเดตในเครื่องเป็นของแท้ แล้วลบตัวเอง
3. scheduled task รันโปรแกรม Radmin ของแท้ที่มีลายเซ็น ซึ่งโหลด DLL ของผู้โจมตีที่วางไว้ข้างกัน (DLL side-loading) แล้วโหลดแบ็กดอร์ SHINYROAD ที่ให้ remote shell และดึงโค้ดใหม่มารันได้ โดยเชื่อมต่อกับที่อยู่เดียวที่ฝังไว้ ไม่มีที่อยู่สำรอง
4. CROSSROAD หยุดทำงานหากเครื่องอยู่ในจีน หรือพบเอเจนต์ความปลอดภัยบางตัว เครื่องที่ผ่านการตรวจจะถูกติดตั้งเฟรมเวิร์กโอเพนซอร์ส Adaptix C2 ที่ปลอมเป็นซอฟต์แวร์ Nitro PDF เพิ่ม

ในช่วง 20 กรกฎาคม ผู้โจมตียังแก้ไฟล์แจ้งเตือนให้เปิดป๊อปอัปขนาดหนึ่งพิกเซลที่มองไม่เห็น ชี้ไปยังไฟล์บนเซิร์ฟเวอร์ผู้โจมตีผ่าน WebDAV การแสดงผลป๊อปอัปนี้อาจทำให้ Windows ส่งค่า NetNTLMv2 ของผู้ใช้ที่ล็อกอินอยู่ไปให้ผู้โจมตีนำไปแคร็กหรือใช้ซ้ำ โดยไม่ต้องรันโปรแกรมใดเลย

ผลกระทบ

ซอฟต์แวร์แบ็กอัปมักทำงานด้วยสิทธิ์สูงและติดตั้งบนเซิร์ฟเวอร์กับเครื่องสำคัญ การยึดช่องทางอัปเดตจึงให้ผู้โจมตีเข้าถึงเครื่องที่มีค่าได้ทันที ช่วงเวลาที่สั้นมากทำให้การตรวจสอบแบบดั้งเดิมล้มเหลว เมื่อนักวิเคราะห์ไปดูหน้าดาวน์โหลดหลังได้รับแจ้งเตือนจะพบไฟล์ปกติ จนเข้าใจผิดว่าเป็น false positive สำหรับอาเซียน การที่พบองค์กรเหยื่อในสิงคโปร์ร่วมกับภาคไอที โทรคมนาคม และการศึกษา แสดงว่าองค์กรในภูมิภาคที่ใช้ AOMEI ควรตรวจย้อนหลังด้วย และแม้เครื่องจะบล็อกแบ็กดอร์ได้ ค่า NetNTLMv2 ก็อาจรั่วไปแล้วผ่านป๊อปอัป WebDAV

คำแนะนำ

• องค์กรที่ใช้ซอฟต์แวร์ของ AOMEI ควรล่าภัยคุกคามย้อนหลังตลอดช่วงเมษายนถึงกรกฎาคม 2569 ไม่ใช่เชื่อเพียงว่าผู้ผลิตแก้เซิร์ฟเวอร์แล้ว
• อย่าตัดสินการแจ้งเตือนจากการเปิดหน้าดาวน์โหลดตอนนี้ ให้เก็บไฟล์ที่แคชในโฟลเดอร์ของโปรแกรม และตรวจล็อกเครือข่าย ณ เวลาที่แจ้งเตือนเกิดขึ้นจริง
• บนเครื่อง ตรวจหา scheduled task ชื่อ RadminComponentRuntime หรือ NitroRuntime, ไฟล์ upgrade-now.exe ที่ไม่มีลายเซ็นแต่แสดงข้อมูลผู้เผยแพร่ของ AOMEI, โปรแกรมที่รันจากโฟลเดอร์ป๊อปอัป html ของ Backupper และไฟล์แปลกปลอมในโฟลเดอร์ application data ของ Radmin
• บล็อกโดเมนและ IP ในตาราง IoCs และบล็อก SMB (TCP 445) กับ WebDAV ขาออกไปยังอินเทอร์เน็ต เพื่อตัดการรั่วของ NetNTLMv2
• เครื่องที่พบร่องรอย ให้เปลี่ยนรหัสผ่านของผู้ใช้ที่ล็อกอินบนเครื่องนั้น และพิจารณาติดตั้งระบบใหม่
• ใช้กฎ YARA จาก GTIG และกฎ Sigma จาก ManageEngine ประกอบการตรวจ (ผู้วิจัยแต่ละฝ่ายเผยแพร่เอง)

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• Attackers Tampered with AOMEI Backupper’s Update Servers for Minutes to Deliver a Backdoor — The Hacker News
• Investigating Ephemeral Supply Chain Tampering — Google Threat Intelligence Group
• AOMEI Backupper Supply Chain Compromise — ManageEngine Threat Analysis Lab
• AOMEI Backupper Changelog — AOMEI