В мае — июле 2026 года злоумышленники подменяли файлы на серверах обновлений AOMEI Backupper на 5–10 минут за раз. За это короткое окно программа успевала скачать не штатный пакет, а бэкдор, который запускался на заражённых Windows-машинах.

Отдельная деталь делает инцидент особенно неприятным: серверы уже исправили, но это не очищает компьютеры, которые успели схватить вредоносный файл. В зоне риска оказались не только домашние пользователи, но и организации, где софт для резервного копирования и клонирования дисков стоит на рабочих станциях и серверах.

Что именно произошло и почему это важно

AOMEI Backupper проверяет обновления и рекламные уведомления через фоновые службы. Атакующие меняли два текстовых файла на сервере: один указывал, что именно скачать, второй — что показать и что запустить.

Проблема в том, что программа не проверяла эти файлы криптографически. Иными словами, она доверяла ответу сервера, хотя именно его и подменяли.

Такой сценарий опаснее обычной дыры в коде. Пользователь ничего не нажимает, не открывает вложение и не подтверждает установку. Достаточно, чтобы программа в нужные минуты сама вышла за обновлением.

Три подхода к защите: что сработало бы лучше

1. Жёсткая проверка обновлений на стороне программы

Самый надёжный вариант — когда клиент сверяет цифровую подпись пакета и не запускает ничего сомнительного, даже если файл пришёл с «родного» сервера. В этой истории именно этого и не хватило.

Плюс очевиден: подмена на сервере перестаёт быть фатальной. Минус тоже понятен — это зависит от разработчика, а не от пользователя или администратора.

2. Контроль выхода приложений в сеть и журналирование

Если резервное ПО или любой другой корпоративный софт выходит в интернет, это надо видеть в логах. Тогда можно заметить странные скачивания, необычные адреса и поведение, похожее на компрометацию.

Это не лечит проблему, но резко повышает шанс поймать её в первые часы. В таких ситуациях полезно смотреть не только на саму программу, но и на трафик, который она отправляла и получала.

3. Сегментация и ограничение прав

Даже если вредоносный файл всё-таки запустился, он не должен получать лишние полномочия. Отдельные учётные записи, минимальные права и изоляция рабочих станций заметно сужают ущерб.

В материале исследователи пишут, что запуск шёл с правами процесса AOMEI, а на ряде машин этого хватило для установки софта по всей системе. Это классический аргумент в пользу принципа «ничего лишнего».

4. Переход на инструменты удалённого доступа и резервного копирования с прозрачной цепочкой поставки

На рынке хватает решений, где обновления идут через более строгую проверку и лучше документированы. Это не панацея, но для ИТ-отдела важен не бренд, а то, как именно софт получает и подтверждает обновления.

Если вам интересны смежные сценарии, посмотрите разбор о цепочке старых багов в OpenBSD — там хорошо видно, как мелкие на первый взгляд проблемы складываются в серьёзный инцидент.

Кому что подходит

Домашним пользователям не стоит держать резервное ПО без необходимости в автозагрузке и фоне. Если программа редко нужна, лучше запускать её вручную и следить за обновлениями через официальный интерфейс.

В компаниях приоритет другой: инвентаризация установленного софта, контроль сетевых соединений и проверка журналов на время инцидента. Здесь важна не одна мера, а связка из нескольких.

Отдельно стоит помнить о командировках и публичных сетях: любой рабочий ноутбук, который регулярно выходит в интернет из кафе, отеля или аэропорта, должен получать меньше доверия, чем офисный ПК. Для таких сценариев уместен сервис для поездок и открытых сетей, если задача — снизить риск перехвата трафика и утечки служебных данных.

Что делать прямо сейчас

Если у вас или в компании стоит AOMEI Backupper, проверьте не только версию программы, но и следы её работы за весну и лето 2026 года. Самый опасный момент — не текущая загрузка с сайта производителя, а то окно, когда вредонос уже успел попасть на машину и затем замести следы.

Особое внимание — заданиям планировщика, папкам с временными файлами и журналам сетевой активности. Если система выглядит чистой сейчас, это ещё не значит, что она не была заражена тогда.

Дополнительный риск — подмена не только пакета обновления, но и служебных файлов уведомлений. Такой трюк может утащить учётные данные через сетевые механизмы Windows без заметного окна на экране.

Если вам нужен практический ориентир, проверьте резервные программы по тому же принципу, что и почтовые вложения: откуда пришёл файл, как он проверяется и что именно запускается после загрузки. Это базовая гигиена, которая часто спасает от больших проблем.

  • Проверить, установлен ли AOMEI Backupper или похожий софт на рабочих станциях и серверах.
  • Посмотреть журналы за период с апреля по июль 2026 года и отметить необычные скачивания.
  • Найти задания планировщика, связанные с RadminComponentRuntime или похожими именами.
  • Проверить папки программы на странные файлы, особенно если они запускаются из каталога уведомлений или временных данных.
  • Ограничить выход таких программ в интернет и включить детальное логирование.
  • Обновить политику: любой софт для резервного копирования должен проходить проверку подписи и целостности.
  • Если машина работала в публичной сети во время поездки, отдельно проверить сетевые журналы и входящие соединения.
Поделиться: