バックアップソフト「AOMEI Backupper」の更新の仕組みが悪用され、裏口のプログラムが配られる 1回5〜10分だけ書き換え Googleなどが公表

Googleの脅威の調査チーム(GTIG)と、Google傘下のセキュリティ会社Mandiantは2026年10月15日、Windows用のバックアップソフト「AOMEI Backupper」の更新の仕組みが悪用され、裏口(バックドア)のプログラムが配られていたと公表した。発見したManageEngineの研究チーム「METAL」も、16日に分析を公開した。

何が起きたのか

AOMEI Backupperは、パソコンのデータのバックアップや、ディスクの丸ごとの複製に使うソフトだ。The Hacker Newsによると、作っているAOMEI Technologyは香港で登記された会社で、リモートで別のパソコンを操作する「AnyViewer」も出している。

これらのソフトは、裏で定期的にAOMEIのサーバーに問い合わせ、更新や宣伝のお知らせが無いかを確かめている。問い合わせに使う設定のファイルは2つある。

• down_html.ini: どのファイルをダウンロードするかと、それが本物かを確かめるための値(チェックサム)を書いたファイル
• Notifycfg.ini: お知らせで何を表示し、何を動かすかを書いたファイル

報告によると、ソフトはどちらのファイルも、暗号の技術で本物かどうかを確かめていなかった。本物かを確かめる値も、ダウンロード先を書いた同じファイルの中にあった。攻撃者は、この2つのファイルを書き換えるだけで、偽のファイルを本物として通すことができた。ソフトの欠陥を突いたものではなく、利用者が何かを操作する必要もなかったという。

1回5〜10分だけ書き換える

GTIGによると、攻撃者は2026年4月から7月にかけて、AOMEIのサーバーの設定のファイルを、1回5〜10分だけ書き換えては、本物に戻すことを繰り返した。その数分の間に更新を確かめたパソコンだけが、偽のファイルを受け取った。GTIGは、これほど短い時間で書き換えるサプライチェーン攻撃(ソフトの配布の経路を狙う攻撃)は初めて見たとしている。

The Hacker Newsによると、確かめられた書き換えの時間は次の3回で、実際にはもっと多かったとみられる。

あとからメーカーのサイトを調べても、ほとんどの時間は本物のファイルが置かれているので、問題が見つからない。さらに、感染させたプログラムは、パソコンの中の設定のファイルも元に戻していた。

感染するとどうなるか

GTIGとManageEngineによると、流れは次のとおりだ。

• 入り込む: 「CROSSROAD」と呼ばれるプログラムが、パソコンに「Radmin」というリモート操作のソフト一式を置き、3時間ごとに動く予約のタスクを作ってから、自分を消す
• 裏口を開ける: 本物の署名つきのRadminのプログラムに、攻撃者が作った部品を読み込ませ、「SHINYROAD」という裏口のプログラムを動かす。攻撃者は、離れた場所からパソコンを操作したり、新しいプログラムを送り込んで動かしたりできる
• 場所を選ぶ: パソコンが中国にある場合や、特定のセキュリティソフトが入っている場合は、動くのをやめる
• 追加の道具: 一部のパソコンには、PDFのソフトを装った別の遠隔操作の道具も送り込まれた

7月20日の書き換えでは、目に見えない小さなお知らせの画面を開かせることで、プログラムを動かさなくても、Windowsのログインの認証の情報の一部を攻撃者のサーバーに送らせる仕掛けもあったという。

GTIGは、自社の観測から、IT、通信、大学などの組織が、オーストラリア、ブラジル、インド、パキスタン、ポルトガル、シンガポール、南アフリカ、スペイン、スイス、トルコ、米国の11か国で被害にあったとしている。ただ、その時間に更新を確かめたパソコンを手当たり次第に狙う攻撃だったため、実際の被害はもっと多い可能性があるという。攻撃したグループは「UNC7017」と呼び、国や既知のグループとの結びつきは示していない。

見つかるまで

ManageEngineによると、同社の監視のソフトが5月28日、国の違う関係の無い2つの客のパソコンで、AOMEI BackupperがRadminを入れる動きをとらえた。6月7日にAOMEIに知らせたが、AOMEIは最初、通信の途中で書き換えられたと説明した。ManageEngineは、AOMEIの配布の経路を見張り続け、7月16日に、サーバーのファイルが書き換えられる瞬間をとらえた。Mandiantは7月17日にAOMEIに知らせ、AOMEIは7月29日、サーバーを守る対策をとったと伝えたという。

利用者や会社がすること

GTIGは「メーカーがサーバー側で対策をしたからといって、守られていると考えることはできない」としている。すでに感染したパソコンは、サーバーの対策では直らないためだ。報告では、次のような点検を勧めている。

• 4〜7月にさかのぼって調べる: パソコンと通信の記録を、4〜7月の全体にわたって点検する
• 痕跡を探す: 「RadminComponentRuntime」「NitroRuntime」という名前の予約のタスクや、パソコンの中のRadminのフォルダーに置かれた心当たりの無いファイルが無いかを確かめる
• 今のサイトを見て判断しない: 警告が出たとき、メーカーのサイトを今見て問題が無くても、誤報と決めつけない。ソフトのフォルダーに残っているファイルと、警告が出た時刻の通信の記録を確かめる
• 攻撃者の通信先を止める: 報告に載っている攻撃者のドメインやIPアドレスへの通信を止め、外へのファイル共有(SMB)やWebDAVの通信も止める

かんたんに言うと

いつも正しい案内が貼られている店の掲示板を、誰かが数分だけ偽物に貼り替え、その間に見に来た客だけを偽の店に連れて行く、という手口だ。あとから掲示板を見に行っても、本物の案内しか貼られていないので、何が起きたのか分かりにくい(TECHNOVAの見方)。

日本ではどうなるのか

AOMEI Backupperは日本語のサイトもあり、日本でも使われている。GTIGが挙げた11か国に日本は入っていないが、書き換えの時間に更新を確かめたパソコンを手当たり次第に狙う攻撃だったため、日本の利用者が無関係とは言い切れない(TECHNOVAの見方)。会社でAOMEIのソフトを使っている場合は、情報システムの担当者に知らせ、報告に沿って点検したい。

まとめ

AOMEI Backupperの更新の仕組みが悪用され、攻撃者がサーバーの設定のファイルを数分だけ書き換えることで、裏口のプログラムを配っていた。AOMEIはサーバーの対策をしたが、すでに感染したパソコンは直らない。使っている人や会社は、4〜7月にさかのぼって痕跡が無いかを確かめたい。