AOMEI備份軟體更新藏後門！資料還安全嗎？

(中央社財經訊息服務20261022 18:18:20)Google威脅情報團隊10月15日揭露，攻擊者在2026年4月至7月間，多次短暫竄改AOMEI軟體更新來源，讓部分在特定時段檢查更新的電腦下載並執行惡意程式。每次已確認的竄改僅持續約5至10分鐘，之後設定便恢復正常。這讓事件出現一個棘手問題：使用者的電腦可能已經收到惡意檔案，事後檢查更新伺服器，卻只看得到正常內容。

這次攻擊利用的是更新流程本身。AOMEI Backupper會讀取伺服器提供的設定，依照其中的網址和版本資訊下載更新。攻擊者竄改設定，把下載位置導向惡意檔案，也一併更改檔案的MD5值，讓更新程式接受並執行它。換句話說，問題不在於使用者安裝了來路不明的軟體，而是更新程式信任的來源遭到利用。

這也說明，看到HTTPS連線或檔案雜湊值吻合，未必就能確認更新安全。HTTPS能保護傳輸過程，但如果伺服器提供的設定已被改動，下載網址和用來比對的雜湊值也可能一起遭替換。Google因此建議軟體業者以數位簽章驗證更新檔與設定檔，讓用戶端能確認檔案確實由可信的發布者簽署，而不是只依賴同一個更新來源提供的資訊。

攻擊者投遞的程式包含CROSSROAD下載器及SHINYROAD後門，並利用遠端管理工具建立持續存取能力。這代表惡意程式可能在短暫的更新事件過後繼續留在電腦裡；但目前公開研究並未表示所有AOMEI使用者都受感染，也不能據此認定每一台受影響電腦的資料都已外洩。

企業現在可以先做三件事：盤點哪些電腦安裝AOMEI Backupper；查看2026年4月至7月的端點與網路紀錄，留意未授權的Radmin程式、名為「RadminComponentRuntime」的排程工作，以及研究報告列出的可疑網域；發現異常時，保留紀錄並隔離設備，交由IT或資安人員調查。單純更新軟體或重新安裝，無法證明先前下載的惡意程式已經清除。

備份資料也要另外確認。若備份設備與日常電腦共用網路、管理帳號或存取權限，端點遭入侵後，備份環境也可能面臨風險。企業應檢查備份副本是否與正式系統分開、管理權限是否獨立，並定期測試還原，確認手上真的有乾淨可用的資料。

Cloudmax 匯智提供主機資料異地備份服務，企業可依主機環境與復原需求規劃備份方式。無論採用哪種服務，這次事件帶出的重點都一樣：備份要有不同位置的副本，也要有獨立的存取管理和實際還原測試。備份紀錄顯示成功，還要能在需要時把資料救回來。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw 圖片來源：Cloudmax 匯智／AI生成