اختطف قراصنة خوادم تحديث AOMEI Backupper في نوافذ مدتها خمس دقائق لزرع باب خلفي

اخترق مهاجمون البنية التحتية لتحديث برنامج AOMEI Backupper الشهير للنسخ الاحتياطي، واستخدموها لزرع باب خلفي على النسخ المثبتة خلال نوافذ زمنية قصيرة بين مايو ويوليو 2026 - أحياناً لمدة خمس إلى عشر دقائق فقط في كل مرة. وكشفت مجموعة استخبارات التهديدات التابعة لجوجل (GTIG)، بالتعاون مع Mandiant ومختبر تحليل التهديدات التابع لـManageEngine، عن هذه الحملة هذا الأسبوع، ونسبتها إلى جهة تُتابعها تحت اسم UNC7017.

واللافت في هذا الهجوم هو ما لم يكن يحتاجه على الإطلاق: لا ثغرة برمجية البتة. يتحقق AOMEI Backupper من ملفين نصيين بسيطين على خوادم الشركة المصنّعة - أحدهما يُخبره بالحزمة التي يجب تنزيلها، والآخر يتحكم في محتوى النوافذ المنبثقة وما يتم تشغيله. ولا يحمل أي من الملفين توقيعاً تشفيرياً، بل إن المجموع الاختباري (checksum) المفترض أن يُثبت صحة التنزيل موجود داخل الملف غير الموقّع نفسه الذي يسميه. اكتفى المهاجمون بتعديل هذين الملفين لبضع دقائق، وتركوا آلية التحديث تجلب حمولات ضارة، ثم أعادوا الملفين إلى حالتهما الأصلية قبل أن ينتبه أحد - وهو نمط تقول GTIG إنه طال أيضاً أداة AnyViewer للوصول عن بُعد التابعة لـAOMEI.

تلقت الأجهزة التي تحققت من التحديثات خلال إحدى النوافذ المتلاعب بها برنامج التنزيل CROSSROAD، تلاه غرس SHINYROAD، الذي يُشغَّل عبر ملف Radmin الثنائي للوصول عن بُعد والموقّع توقيعاً شرعياً إلى جانب مكتبة DLL ضارة مزروعة - وهي تقنية تُعرف بـ«تحميل DLL الجانبي» تتيح للبرمجيات الخبيثة العمل تحت غطاء برمجيات موثوقة وموقّعة. وفي نافذة زمنية واحدة على الأقل، لم يُثبّت المهاجمون أي شيء إطلاقاً، بل جمعوا مباشرة تجزئات مصادقة NetNTLMv2، التي يمكن فك تشفيرها أو إعادة توجيهها للتحرك أفقياً عبر شبكة ويندوز.

تقول GTIG إن الضحايا المؤكدين يمتدون عبر قطاعات خدمات تقنية المعلومات والاتصالات والتعليم العالي في 11 دولة - وهو نمط ضحايا يتماشى مع عملية سلسلة توريد بدافع تجسسي أكثر من كونها جريمة انتهازية. وجاءت أول إشارة علنية للمشكلة عندما رصد برنامج أمن نقاط النهاية الخاص بـManageEngine أمراً غير معتاد: تثبيت AOMEI Backupper المفاجئ لأداة Radmin - وهي أداة شرعية لكنها غير ذات صلة لإدارة الأنظمة عن بُعد - على أجهزة في شركتين غير مرتبطتين. وهذا الخلل هو ما أطلق التحقيق الأوسع.

أبلغت Mandiant شركة AOMEI بالعبث بملفات الإعداد في 17 يوليو؛ وأكدت الشركة اتخاذ إجراء تصحيحي على خوادمها في 29 يوليو. لكن إصلاح الخادم لا يُلغي الإصابات التي وقعت بالفعل - فأي جهاز حصل على تحديث خلال إحدى النوافذ الضارة بين مايو ويوليو قد لا يزال يحمل الباب الخلفي، بصرف النظر عما إذا كان يشغّل أحدث إصدار اليوم أم لا. ويُنصح فرق الأمن بالبحث عن مهام مجدولة غير متوقعة، وملفات تنفيذية غير مألوفة داخل مجلدات تثبيت AOMEI، وعلامات على نشاط Radmin أو Adaptix C2، بدلاً من افتراض أن سجل تحديث نظيفاً يعني جهازاً نظيفاً.

التقنية نفسها ليست جديدة - فقنوات التحديث غير الموقّعة وغير المُصادق عليها كانت هدفاً سهلاً منذ سنوات، من اختراق Asus Live Update عام 2018 الذي أصاب نحو 70 ألف جهاز، إلى اختطاف مماثل لآلية تحديث Notepad++ أُبلغ عنه في وقت سابق من هذا العام. وما يميز حالة AOMEI هو مدى ضآلة ما احتاجه المهاجمون: لا استغلال ثغرات، ولا سرقة بيانات اعتماد للدخول، فقط ملفان نصيان وبضع دقائق دون مراقبة، تكررت حتى نجحت.

المصدر: إفصاحات مجموعة استخبارات التهديدات التابعة لجوجل وMandiant ومختبر تحليل التهديدات التابع لـManageEngine، كما نقلتها The Hacker News وMalwarebytes، 19 أكتوبر 2026.