傲梅备份被发现在4~7月通过更新服务器投毒 疑似攻击者通过某种方式入侵更新服务器
内容提要
2026年4至7月，傲梅备份工具的更新服务器遭投毒，攻击者篡改更新与通知配置文件。由于客户端未校验签名，且下载地址与MD5值存于同一处，攻击者可同时替换二者以分发恶意程序。谷歌等机构记录到三次短时篡改，投放了CROSSROAD下载器与SHINYROAD后门，影响多国IT、电信和教育领域。傲梅称已修复服务器，但已感染设备需用户自行杀毒或重装。
延伸解读
更新机制的设计缺陷
傲梅备份通过HTTPS获取down_html.ini和Notifycfg.ini两份配置文件，但客户端未对配置文件做数字签名校验，且下载地址与MD5校验值写在同一文件中。这意味着一旦攻击者取得服务器修改权限，就能同时替换下载地址和校验值，使客户端无法通过校验发现异常。HTTPS只保护传输过程，无法防止服务器端内容被篡改，这是此次投毒能够成立的关键前提。
短时投放与检测盲区
谷歌等机构仅捕获到三次配置篡改，分别持续10分钟、6分钟和5分钟，且只在用户检查更新的瞬间生效。这种短时窗口意味着常规巡检或事后日志分析很可能漏掉异常，研究团队也认为其他活动窗口可能未被观测到。尽管谷歌在11个国家或地区发现恶意样本，涉及IT服务、电信和高等教育领域，但并未公布感染数量，实际影响范围可能被低估。
修复服务器不等于清除后门
傲梅表示已对服务器采取纠正措施，首席技术官牵头调查，但截至报道时未发布官方公告和具体调查结果。更关键的是，修复服务器只能阻断后续投毒，无法远程清除已经部署在设备上的CROSSROAD下载器和SHINYROAD后门。已感染设备仍需用户自行用杀毒软件全盘扫描，必要时重装系统，因此不能把厂商修复服务器等同于终端风险解除。
Q&A
傲梅备份更新服务器投毒事件发生在什么时间？影响了哪些行业？
事件发生在2026年4月至7月。根据谷歌威胁情报团队等机构的报告，恶意样本出现在11个国家或地区，涉及IT服务、电信和高等教育领域。
攻击者是如何利用傲梅备份的更新机制投放恶意软件的？
傲梅备份通过HTTPS获取两份配置文件：down_html.ini提供更新包下载地址和MD5校验值，Notifycfg.ini控制通知内容。客户端未对配置文件进行数字签名校验，且下载地址与校验值在同一文件中，攻击者取得服务器修改权限后可同时替换二者，诱导客户端下载恶意程序。
攻击者具体投放了哪些恶意程序？它们的作用是什么？
攻击者投放了下载器CROSSROAD和後門程序SHINYROAD。CROSSROAD会建立计划任务并部署SHINYROAD后门；攻击链还借用正版软件Radmin的组件，通过侧载恶意DLL运行后门。7月20日的攻击还利用隐藏的1像素弹窗连接WebDAV资源，试图诱导系统发送NTLMv2认证响应。
谷歌等机构观察到了几次配置篡改？每次持续多久？
谷歌威胁情报团队和ManageEngine共抓到3次配置篡改：5月28日持续10分钟、7月16日持续6分钟、7月20日持续5分钟。研究团队认为由于篡改时间短，其他活动窗口可能未被观测到。
傲梅官方对此次事件有何回应？采取了哪些措施？
傲梅表示已对服务器采取纠正措施，首席技术官正在牵头调查。但截至报道时，傲梅尚未发布官方公告，也未公布具体调查结果。
如果我的设备可能感染了恶意软件，应该如何处理？
傲梅修复服务器问题并不能远程清除已部署的后门程序，因此已感染设备需用户自行处置。建议使用其他杀毒软件进行全盘扫描，必要时直接重装系统。
