谷歌威胁情报组（GTIG）、Mandiant 与 ManageEngine 本周联合披露一起供应链攻击：2026 年 5 月至 7 月，攻击者多次篡改傲梅备份（AOMEI Backupper）官方更新服务器上的配置文件，每次只维持 5 到 10 分钟。在这几分钟内检查更新的客户端就会自动下载并执行后门。
事件概述
傲梅备份是香港注册厂商傲梅科技的 Windows 备份与磁盘克隆软件，旗下远程桌面工具 AnyViewer 使用同一套更新流程。更新检查由两个文件驱动：down_html.ini 指明更新包名称与校验哈希，Notifycfg.ini 决定弹窗内容与要执行的程序。
问题出在这两个文件上。它们没有任何签名，而本该证明下载包合法性的校验值，恰恰写在指定下载包的那个未签名文件里——谁改得动它，谁就同时控制了「下载什么」和「怎么校验」。ManageEngine 指出，这次攻击没有利用任何软件漏洞，只要装了、在跑，就具备被入侵条件。
技术细节
GTIG 与 Mandiant 确认了三个篡改窗口：5 月 28 日 05:40–05:50 UTC（10 分钟）、7 月 16 日 08:33–08:39 UTC（6 分钟）、7 月 20 日 10:35–10:40 UTC（5 分钟），并称可能还有未被观测到的。命中窗口的客户端会把恶意包拉进自身程序目录，再由通知配置触发执行，权限与启动它的傲梅进程一致。
载荷链条分三段。第一段是 GTIG 命名为 CROSSROAD 的下载器：把恶意包解到本地 Radmin 目录，创建每三小时执行一次的计划任务，然后自删除。包里带一份合法、有签名的 Radmin 远程管理程序，由计划任务拉起后侧加载攻击者构造的 DLL，再加载 SHINYROAD 植入体，提供远程 shell 与代码下发能力；SHINYROAD 只连一个硬编码地址，封掉即可切断控制。
CROSSROAD 带地理围栏：检测到机器位于中国境内即停止执行，检测到特定安全代理同样退出。7 月 20 日的窗口里还有一招：把通知配置改成显示 1 像素透明弹窗，指向 WebDAV 资源，渲染时 Windows 会把当前用户的 NetNTLMv2 认证响应发出去。
影响评估
GTIG 把这次行动归为机会主义攻击：谁在窗口内主动拉更新，谁就中招。已确认受害组织分布在 IT 服务、电信与高等教育，涉及澳、巴西、印度、巴基斯坦、葡萄牙、新加坡、南非、西班牙、瑞士、土耳其与美国 11 国。GTIG 未给出受害总数，称真实数量可能更高；攻击者被跟踪为 UNC7017，未关联任何国家。
麻烦的是检测难度：传统排查是在某个时间点拉更新文件比对，窗口之外拉到的永远是干净文件。GTIG 称这是首个以此种短窗口实施的 Windows 供应链投毒。傲梅 7 月 29 日已告知 Mandiant 完成服务器侧整改，但服务器修好不等于客户端干净。
修复建议
使用傲梅产品的组织应回溯 5 月至 7 月的更新行为：
- 检查计划任务中每三小时触发、指向 Radmin 目录的可疑项与该目录下的非官方文件；
- 排查由备份程序等可信进程侧加载的未知 DLL 与伪装成 Nitro PDF 的 Adaptix C2 组件；
- 检索 5 月至 7 月指向外部 WebDAV 资源的连接与异常 NTLM 外发认证，并封禁报告中的硬编码 C2 地址。
加固方向上，不应对厂商更新通道保留无条件信任：可关闭应用内自动更新，改为从官网下载后校验签名再分发；终端侧禁止备份、远控类软件从程序目录执行未签名子进程。AnyViewer 走同一套机制，同样建议排查。两份报告都未列出受影响版本（ManageEngine 分析的是 8.3.0）。