AOMEI Backupper ตกเป็นเป้าโจมตี Supply Chain แบบช่วงสั้นต่อเนื่อง

นักวิจัยด้านความปลอดภัยแจ้งเตือนการพบแคมเปญโจมตี AOMEI Backupper ซอฟต์แวร์สำรองข้อมูลและโคลนดิสก์ยอดนิยมบน Windows โดยพบการส่งมัลแวร์ไปยังผู้ใช้ผ่านการโจมตีซัพพลายเชน (supply chain compromises) แบบช่วงเวลาสั้นๆ (short-burst) ระหว่างเดือนเมษายนถึงกรกฎาคมที่ผ่านมา

AOMEI Backupper เป็นเครื่องมือที่มีผู้ใช้งานมากกว่า 186 ล้านคนทั่วโลก ทั้งในกลุ่มผู้ใช้ทั่วไปและองค์กรธุรกิจ ความน่าสนใจของการโจมตีครั้งนี้คือการใช้ช่วงเวลาแก้ไขข้อมูล (tampering windows) ที่สั้นมากเพื่อส่งตัวดาวน์โหลด CrossRoad และมัลแวร์ ShinyRoad สู่เครื่องเหยื่อ

"ช่วงเวลาการแก้ไขแต่ละครั้งจะทำงานเพียง 5 ถึง 10 นาทีเท่านั้นก่อนจะกลับคืนสู่เวอร์ชันปกติ" ข้อมูลจาก รายงาน โดย Google Threat Intelligence Group (GTIG) และ Mandiant ระบุ ซึ่งการโจมตีนี้ส่งผลกระทบต่อทุกระบบที่เรียกใช้แพ็กเกจที่ถูกดัดแปลงในช่วงเวลาดังกล่าว โดยเน้นการโจมตีแบบฉวยโอกาสมากกว่าระบุเป้าหมายเฉพาะเจาะจง

จากการสืบสวนพบหน่วยงานในด้านอุดมศึกษา บริการไอที และโทรคมนาคม ในหลายประเทศได้รับความเสียหาย รวมถึงสิงคโปร์ ออสเตรเลีย อินเดีย และสหรัฐอเมริกา โดย Google Cloud พบหลักฐานการดัดแปลงข้อมูลหลายครั้งในปี 2026 และคาดว่าอาจมีการดัดแปลงอื่นๆ ที่อยู่นอกเหนือการตรวจจับเนื่องจากระยะเวลาที่สั้นมาก

ผู้ก่อภัยคุกคามที่ถูกติดตามในชื่อ UNC7017 ได้ใช้วิธีดัดแปลงไฟล์ตั้งค่าการอัปเดตบนเซิร์ฟเวอร์เพื่อเปลี่ยนเส้นทางไปยังไฟล์ ZIP อันตราย และแก้ไขบริการแจ้งเตือนอัตโนมัติเพื่อให้ระบบรันมัลแวร์โดยตรง การวิเคราะห์ของ METAL ระบุว่าแฮกเกอร์ใช้ช่องทางเนื้อหาโปรโมชันของซอฟต์แวร์ที่ขาดการตรวจสอบความถูกต้องทางรหัสผ่าน (cryptographical authentication) เป็นช่องทางแพร่กระจาย

นอกจากนี้ UNC7017 ยังใช้วิธีเปลี่ยนแบนเนอร์ปกติเป็นหน้าต่างขนาด 1x1 พิกเซลเพื่อบังคับให้ไคลเอนต์ร้องขอทรัพยากรระยะไกลผ่าน WebDAV ส่งผลให้สามารถขโมยค่า NetNTLMv2 authentication hashes ได้อีกด้วย โดย payload ที่ถูกส่งมีทั้ง CrossRoad สำหรับเตรียมระบบ, มัลแวร์โมดูลาร์ ShinyRoad และเฟรมเวิร์ก Adaptix สำหรับขั้นตอนหลังการโจมตี

Google Cloud ให้ความเห็นว่าเทคนิคการดัดแปลงการตั้งค่าแบบชั่วคราว (ephemeral) เป็นวิวัฒนาการใหม่ของการโจมตีซัพพลายเชนที่ใช้ทรัพยากรน้อยและตรวจจับได้ยากกว่าการฝังประตูลับในซอร์สโค้ดแบบเดิม ทั้งนี้ AOMEI Technology ได้รับทราบปัญหาและดำเนินการแก้ไขแล้วในช่วงปลายเดือนกรกฎาคมที่ผ่านมา