Peretas Bajak Server Pembaruan AOMEI untuk Sebarkan Malware secara Diam-Diam

Kelompok peretas dilaporkan telah berhasil mengompromikan infrastruktur server milik AOMEI untuk mendistribusikan malware melalui fitur promosi bawaan di dalam perangkat lunak pencadangan (backup) mereka. Guna menyembunyikan jejak serangan, para pelaku hanya memodifikasi berkas konfigurasi secara singkat dalam hitungan menit sebelum mengembalikannya ke kondisi semula.

Serangan rantai pasokan (supply chain attack) ini berlangsung antara bulan April hingga Juli 2026, menargetkan sistem pembaruan dan notifikasi yang digunakan oleh AOMEI Backupper—aplikasi Windows populer yang diandalkan untuk mencadangkan data, melakukan kloning diska, serta memulihkan sistem.

Kampanye berbahaya ini pertama kali diungkap dan diinvestigasi oleh tim peneliti dari Threat Analysis Lab milik ManageEngine (METAL) yang bekerja sama dengan Google Threat Intelligence Group (GTIG) serta Mandiant. Dalam laporan gabungan tersebut, aktivitas peretasan ini diatribusikan kepada kelompok ancaman yang dilacak sebagai UNC7017, yang memanfaatkan infrastruktur AOMEI untuk menyebarkan malware downloader baru bernama CROSSROAD serta backdoor bernama SHINYROAD.

Para peneliti mengidentifikasi adanya organisasi yang terdampak di berbagai negara—meliputi Amerika Serikat, Australia, India, Singapura, Spanyol, dan Swiss—yang tersebar di sektor layanan IT, telekomunikasi, hingga pendidikan tinggi. Mengingat sifat serangan yang oportunistik, Google memperingatkan bahwa organisasi lain yang kebetulan memeriksa pembaruan perangkat lunak tepat pada jendela waktu singkat saat berkas berbahaya tersebut didistribusikan kemungkinan besar turut terinfeksi.

Manipulasi Konfigurasi Singkat dalam Hitungan Menit

Serangan ini pertama kali terdeteksi pada 28 Mei 2026, ketika perangkat lunak keamanan endpoint milik ManageEngine mendapati AOMEI Backupper tiba-tiba menginstal alat administrasi jarak jauh yang sah, Radmin, pada komputer di dua perusahaan berbeda lintas negara. Instalasi tersebut tampak sangat mencurigakan karena dijalankan langsung oleh proses promosi bawaan AOMEI yang normalnya hanya bertugas mengunduh dan menampilkan konten promosi maupun notifikasi.

Namun, saat peneliti mencoba mereproduksi perilaku tersebut pada sistem pengujian, mereka tidak menemukan aktivitas berbahaya apa pun. Analisis lebih lanjut mengungkap bahwa alih-alih mengganti berkas di server secara permanen, penyerang hanya memodifikasi dua berkas konfigurasi selama beberapa menit:

• [https://www2.aomeisoftware.com/download/abpopup/down_html.ini](https://www2.aomeisoftware.com/download/abpopup/down_html.ini) (mengatur lokasi pengunduhan paket pembaruan).
• [https://account.aomeitech.com/Notifycfg.ini](https://account.aomeitech.com/Notifycfg.ini) (mengontrol notifikasi dan memicu eksekusi konten pada komputer).

Dengan memanipulasi kedua berkas ini beserta nilai checksum verifikasinya, penyerang mengalihkan perangkat lunak untuk mengunduh arsip ZIP berbahaya dan langsung mengeksekusinya lewat mekanisme notifikasi tanpa memerlukan interaksi pengguna sama sekali.

Melalui pemantauan berkelanjutan terhadap server AOMEI, ManageEngine dan Google berhasil menangkap tiga jendela waktu spesifik saat berkas konfigurasi berbahaya tersebut disebarkan:

• 28 Mei 2026: Jendela eksposur selama 10 menit (05:40 – 05:50 UTC)
• 16 Juli 2026: Jendela eksposur selama 6 menit (08:33 – 08:39 UTC)
• 20 Juli 2026: Jendela eksposur selama 5 menit (10:35 – 10:40 UTC)

Malware CROSSROAD, SHINYROAD, dan Pencurian Hash NTLM

Selama jendela waktu singkat tersebut, berkas konfigurasi yang telah disusupi menginstal downloader CROSSROAD, yang bertugas melakukan pengintaian sistem, mengunduh komponen tambahan, serta membangun akses persisten melalui scheduled task. Sementara itu, backdoor SHINYROAD memanfaatkan komponen Radmin yang sah untuk memuat kode jahat dan membangun koneksi keluar menuju server command-and-control (C2) milik peretas.

Selain menyebarkan malware, pada serangan tanggal 20 Juli, Google juga mengamati teknik kedua yang berupaya mencuri hash autentikasi Windows (NTLM). Pelaku memaksa sistem notifikasi aplikasi untuk mengakses sumber daya WebDAV yang dikendalikan penyerang melalui jendela popup tak terlihat (invisible popup), sehingga hash NTLM korban dapat dikumpulkan dan dipecahkan (cracked) lebih lanjut oleh pelaku.

Infrastruktur yang digunakan peretas dalam kampanye ini mencakup alamat IP 8.210.84[.]56, domain serv.oss-cn-hongkong[.]aliyuncs.com, sejumlah hostname di bawah storage-data[.]com, serta titik akhir sah Google Cloud Storage (storage.googleapis.com).

Respons AOMEI dan Imbauan bagi Administrator

ManageEngine pertama kali melaporkan aktivitas mencurigakan ini kepada AOMEI pada 7 Juni 2026. Pada awalnya, pihak AOMEI menduga konten tersebut dicegat dan dimodifikasi di tengah jalur transmisi (in transit)—sebuah asumsi yang langsung dibantah oleh peneliti mengingat unduhan dilakukan melalui jalur aman HTTPS dari hostname resmi milik AOMEI sendiri.

Setelah diberikan bukti tangkapan langsung pada pertengahan Juli oleh ManageEngine dan Mandiant, AOMEI menyatakan telah meningkatkan keamanan server, menambal potensi celah kerentanan, serta memverifikasi keaslian seluruh berkas di infrastruktur mereka. Saat ini, Chief Technology Officer (CTO) AOMEI dilaporkan tengah memimpin investigasi internal prioritas tinggi terkait insiden tersebut.

Kendati pihak vendor mengklaim telah mengamankan server mereka, ManageEngine memperingatkan bahwa perbaikan di sisi server hanya menghentikan infeksi baru dan tidak menghapus backdoor yang telanjur terpasang pada mesin pelanggan di periode sebelumnya. Oleh karena itu, organisasi yang menggunakan AOMEI Backupper sangat disarankan untuk segera memeriksa indikator kompromi (IoC), meninjau scheduled tasks yang mencurigakan, mengecek berkas executable asing di direktori instalasi AOMEI, serta memantau lalu lintas jaringan menuju infrastruktur milik penyerang.

Sumber: BleepingComputer / Google GTIG / ManageEngine