AOMEI Backupper bị xâm nhập: Chiến dịch chuỗi cung ứng "chớp nhoáng" cài cửa hậu ShinyRoad

AOMEI Backupper – phần mềm sao lưu, đồng bộ và nhân bản ổ đĩa dành cho Windows – đã nhiều lần phân phối mã độc tới người dùng trong các cuộc tấn công chuỗi cung ứng có thời gian tồn tại rất ngắn. Kẻ tấn công chỉ chỉnh sửa máy chủ cập nhật trong vòng 5–10 phút rồi khôi phục bản gốc, khiến chiến dịch gần như vô hình với hầu hết hệ thống giám sát.

Bản chất cuộc tấn công: sửa cấu hình tạm thời thay vì cài cửa hậu vào mã nguồn

AOMEI cho biết các sản phẩm của mình được hơn 186 triệu người dùng trên toàn cầu sử dụng, bao gồm người dùng cá nhân, doanh nghiệp và môi trường Windows Server.

Khác với các vụ tấn công chuỗi cung ứng điển hình – vốn tập trung chèn cửa hậu vào mã nguồn hoặc can thiệp vào quy trình build của nhà phát triển – nhóm tấn công UNC7017 chỉ thao túng file cấu hình trên máy chủ cập nhật. Theo báo cáo của Google Threat Intelligence Group (GTIG) và Mandiant, phối hợp cùng ManageEngine Threat Analysis Lab (METAL), mỗi "cửa sổ xâm nhập" chỉ kéo dài 5 đến 10 phút trước khi được khôi phục về phiên bản chính thức.

"Mỗi cửa sổ xâm nhập chỉ hoạt động trong 5 đến 10 phút trước khi trở lại phiên bản xác thực" – báo cáo của Google Cloud và Mandiant.

Minh họa tấn công chuỗi cung ứng phần mềm

Kỹ thuật khai thác: lợi dụng kênh quảng cáo của AOMEI

Theo phân tích của METAL, nhóm tấn công đã lợi dụng kênh nội dung quảng cáo của AOMEI Backupper để phát tán mã độc. Kênh này chạy các dịch vụ nền liên tục truy vấn máy chủ AOMEI để lấy nội dung, đồng thời chứa hai đường dẫn cấu hình có thể đưa nội dung vào thư mục và thực thi nó.

• Một đường dẫn kiểm soát nội dung được đặt vào thư mục html\
• Đường dẫn còn lại kiểm soát những gì có thể được thực thi từ thư mục đó
• Cả hai file cấu hình đều không được xác thực bằng mật mã phía máy khách
• Mã kiểm tra (checksum) dùng để xác thực gói lưu trữ lại được khai báo ngay trong chính file chưa xác thực đó

Sự thiếu hụt này tạo ra một lỗ hổng nghiêm trọng: kẻ tấn công chỉ cần sửa file cấu hình là có thể ép máy nạn nhân tự động tải và chạy mã độc mà không cần chạm vào bất kỳ dòng mã nguồn nào của sản phẩm.

Ngoài ra, UNC7017 còn triển khai một véc-tơ khai thác thứ cấp: thay một banner hợp lệ bằng cửa sổ 1×1 pixel được gán mức ưu tiên thực thi tối đa, buộc ứng dụng AOMEI gửi yêu cầu tài nguyên từ xa qua WebDAV. Thủ thuật này khiến máy nạn nhân gửi mã băm xác thực NetNTLMv2 về máy chủ của kẻ tấn công – một kỹ thuật đánh cắp thông tin xác thực đáng lo ngại trong môi trường doanh nghiệp.

Chuỗi lây nhiễm: từ CrossRoad đến ShinyRoad

Trong nhiều giai đoạn khác nhau của chiến dịch, nhóm tấn công đã phân phối nhiều loại mã độc:

• CrossRoad – trình tải (dropper) thực hiện kiểm tra hệ thống, dọn dẹp và chuẩn bị tải trọng; thiết lập cơ chế duy trì hiện diện cho cửa hậu giai đoạn sau rồi tự xóa khỏi ổ đĩa
• Radmin Server phiên bản bị chỉnh sửa, đi kèm một DLL độc hại tạo kết nối TCP ngược về máy chủ điều khiển (C&C) của kẻ tấn công
• Adaptix C&C framework – khung điều khiển và chỉ huy dùng cho giai đoạn hậu khai thác
• ShinyRoad – khung cửa hậu dạng module, tải trọng cuối cùng của chiến dịch
• AdaptAgent – thành phần thuộc khung Adaptix C2, được thả xuống sau khi ShinyRoad cài đặt thành công

Mã độc và các cuộc tấn công mạng

Phạm vi ảnh hưởng và mức độ nguy hiểm

Cuộc tấn công ảnh hưởng tới mọi hệ thống tải gói AOMEI Backupper bị chỉnh sửa trong các cửa sổ thời gian nói trên. Điều này cho thấy đây là chiến dịch mang tính cơ hội hơn là nhắm mục tiêu có chủ đích.

Tuy nhiên, trong quá trình điều tra, Google Cloud đã xác định được các tổ chức bị xâm nhập thuộc lĩnh vực giáo dục đại học, dịch vụ CNTT và viễn thông tại nhiều quốc gia, gồm: Australia, Brazil, Ấn Độ, Pakistan, Bồ Đào Nha, Singapore, Nam Phi, Tây Ban Nha, Thụy Sĩ, Thổ Nhĩ Kỳ và Hoa Kỳ. Đáng chú ý, khu vực Đông Nam Á có Singapore nằm trong danh sách – một lưu ý đáng quan tâm với các doanh nghiệp trong khu vực.

"Chúng tôi đã xác nhận một số cửa sổ xâm nhập trong năm 2026, cùng các mẫu mã độc liên quan được quan sát ngoài thực tế từ cuối tháng 4. Tuy nhiên, do thời lượng quá ngắn của các cửa sổ này, nhiều khả năng đã có thêm các lần xâm nhập khác nằm ngoài tầm quan sát của chúng tôi" – Google Cloud nhận định.

Phản hồi chậm trễ từ nhà phát triển

Đáng chú ý, METAL cho biết đã thông báo cho AOMEI Technology về nguy cơ bị xâm nhập vào đầu tháng 6, nhưng nhà phát triển đã bác bỏ báo cáo với lý do nội dung có thể bị chặn và chỉnh sửa trên đường truyền. Phải đến giữa tháng 7, khi Google Cloud gửi cảnh báo lần nữa, công ty mới vào cuối tháng 7 xác nhận đã thực hiện các biện pháp khắc phục.

Về mặt điều tra, các nhà phân tích của ManageEngine đã phát hiện dấu hiệu đường tấn công tiềm năng từ ngày 28/5, quan sát trực tiếp sự thay đổi tải trọng do AOMEI phân phối vào ngày 16/7, và Mandiant cũng ghi nhận hành vi xâm nhập chớp nhoáng vào ngày 20/7.

Biểu tượng an ninh mạng SecurityWeek

Bài học cho người dùng và doanh nghiệp Việt Nam

Chiến dịch này cho thấy sự tiến hóa đáng lo ngại trong phương thức tấn công chuỗi cung ứng phần mềm. Thay vì đầu tư lớn vào việc chèn cửa hậu vào mã nguồn hay quy trình build, kẻ tấn công chọn cách chỉnh sửa cấu hình tạm thời – chi phí thấp hơn, khả năng ẩn mình cao hơn.

Với các tổ chức và người dùng tại Việt Nam đang sử dụng AOMEI Backupper, một số khuyến nghị cần lưu ý:

• Cập nhật lên phiên bản mới nhất do nhà phát triển phát hành sau khi đã khắc phục sự cố vào cuối tháng 7
• Kiểm tra nhật ký hệ thống để phát hiện các kết nối TCP ngược bất thường hoặc tiến trình Radmin Server không rõ nguồn gốc
• Hạn chế quyền thực thi của các ứng dụng cập nhật tự động trong môi trường doanh nghiệp
• Giám sát lưu lượng WebDAV bất thường và các yêu cầu xác thực NetNTLMv2 ra bên ngoài
• Áp dụng nguyên tắc đặc quyền tối thiểu cho tài khoản chạy phần mềm sao lưu

Sự cố này một lần nữa khẳng định rằng ngay cả những phần mềm tiện ích quen thuộc cũng có thể trở thành cánh cửa dẫn mã độc vào hệ thống, đặc biệt khi cơ chế cập nhật tự động thiếu xác thực chặt chẽ ở phía máy khách.