Googleは2026年10月15日、AOMEI Technologyの更新基盤を短時間だけ改ざんする攻撃の調査を公表しました。GoogleのGTIGとMandiantが調査したもので、改ざん中に更新を確認した端末には悪意ある指示が配信されました。現在の配信内容が正規でも、過去に受け取った更新まで安全だったとは判断できない手口です。
5～10分間だけ設定を変え、正規の内容に戻す
GTIGによる調査対象期間は2026年4～7月です。攻撃者はサーバー設定を5～10分間だけ書き換え、その後は正規の内容に戻していました。改ざん時間の前後に更新を確認した端末には、正規ファイルが配信されていました。
GTIGは、このような極めて短時間の改ざんによるサプライチェーン侵害を初めて確認したとしています。サプライチェーン侵害とは、ソフトウェアなどの供給経路を悪用する攻撃です。今回は短時間で元に戻すため、事後監査や自動ファイル検査では発見しにくくなると説明しています。
攻撃活動の追跡名は「UNC7017」です。影響先にはITサービス、通信、高等教育など複数分野の組織が含まれます。GTIGは、確認済みの組織以外にも被害が広がっている可能性が高いとみています。
脆弱性ではなく、正規の更新・通知処理を悪用
AOMEI BackupperとAnyViewerは、ABMarketの更新・通知の仕組みを利用します。GTIGによると、攻撃者は脆弱性ではなく、この正規の仕組みを悪用しました。
更新設定を改ざんして、正規更新の代わりに悪意あるZIPファイルを取得させました。通知設定も書き換え、ダウンロードしたマルウェアを直ちに実行させていました。配信されたCROSSROADから、後続のSHINYROADバックドアが展開されたとしています。バックドアは、不正な操作を行うための侵入口となるプログラムです。
2026年7月20日には、初期配信にGoogle Cloud Storageが悪用されました。GTIGは、正規のクラウドストレージの利用が、新規登録ドメインを遮断する企業プロキシの回避につながったとしています。また、利用者に見えない1×1ピクセルの画面でWebDAVへの接続を指示し、NetNTLMv2認証ハッシュという認証に使う情報を送信させ得る仕組みも確認しました。
GTIGは影響の可能性がある組織に通知し、AOMEI Technologyに技術情報を共有しました。同社は、配信サーバーを保護する是正措置を取ったと報告しています。日本での提供や日本語対応、日本の組織への影響は、今回の発表には書かれていません。
影響する会社・しない会社
- 影響する: AOMEI BackupperやAnyViewerを利用する会社は、利用状況を確認する対象です。ただし、製品を使っているだけで被害が確定するわけではありません。改ざん中に更新を確認した端末に、悪意ある指示が配信されています。
- 影響する: ITサービス、通信、高等教育では影響先が確認されています。GTIGは未確認の被害もあるとみているため、この分野だけに確認対象を絞らないことが重要です。
- 影響しない: 影響がないと断定できる製品の版や地域、会社規模の条件は、発表には書かれていません。現在の配信ファイルが正規であることだけでも、過去の影響は除外できません。
情シスが今日やること
以下は、調査結果を踏まえた社内確認の進め方です。製品固有の管理画面や操作手順は、発表には書かれていません。
- 本日、利用端末と担当者を洗い出します。 IT資産管理台帳と端末管理ツールのインストール済みソフト一覧で、AOMEI BackupperとAnyViewerの有無を確認します。利用部門や管理担当者にも照会し、過去の利用状況を整理します。
- 本日、過去の記録を確認できるか調べます。 セキュリティ担当者に2026年4～7月の端末・通信ログの保存状況を確認します。現在の更新先への接続確認だけで調査を終えず、更新時のファイル取得や、その後のプログラム実行を追えるか確認します。
- 調査前に、残っている証跡を保全します。 端末監視ツールやプロキシの管理画面で、対象端末の検知履歴と通信履歴を確認します。CROSSROAD、SHINYROADに関する検知や、不審なWebDAV接続を調べられるか、運用担当者に依頼します。
- 本日中に確認状況を共有します。 利用部門とインシデント対応責任者に、対象端末、記録の有無、未確認事項を伝えます。配信サーバーへの是正措置と、自社端末に過去の影響があったかどうかは分けて報告し、追加調査の担当者と期限を決めます。
