UNC7017利用AOMEI供应链投递ShinyRoad后门

资讯专家

Google Cloud GTIG、Mandiant 与 ManageEngine Threat Analysis Lab（METAL）调查发现，2026年4月至7月，AOMEI Backupper 的更新/推广内容分发链被多次短时篡改，向在攻击窗口内获取软件包的系统投递 CrossRoad 下载器和 ShinyRoad 模块化后门。攻击者被追踪为 UNC7017。

与常见的源码投毒或构建管线入侵不同，此次篡改窗口仅持续5到10分钟，随后恢复为正版。Google Cloud 表示已确认2026年的多个篡改窗口，以及4月底起在野观察到的相关恶意样本；但由于窗口很短，可能存在未被观测到的额外篡改。攻击影响所有在窗口内获取被修改包的系统，呈现机会性而非定向特征；不过调查仍发现澳大利亚、巴西、印度、巴基斯坦、葡萄牙、新加坡、南非、西班牙、瑞士、土耳其和美国的高等教育、IT服务和电信实体被入侵。

技术路径方面，UNC7017 篡改更新服务器的 update settings 文件，将客户端重定向到恶意ZIP归档，并修改服务器自动通知服务，使系统自动执行恶意内容。METAL 分析称，攻击者滥用了 AOMEI Backupper 的促销内容通道：该通道的后台服务轮询 AOMEI 服务器获取内容，两个配置路径分别控制落入 html 内容目录的文件和可执行内容，二者最终指向同一位置；客户端未对配置文件做加密认证，用于校验归档的校验和也声明在同一个未认证文件中，攻击者可同时控制内容和校验值。

时间线上，METAL 于5月28日捕捉到潜在攻击路径，7月16日实时观察到 AOMEI 下发 payload 的变化；Mandiant 于7月20日也捕获了短时篡改。载荷分析显示，攻击者投放了合法 Radmin Server 远程管理工具及其加载的恶意DLL，后者建立到攻击者C2服务器的反向TCP连接。Google Cloud 还观察到 UNC7017 引入第二利用向量：用1×1像素窗口替换合法 banner，并赋予最高执行优先级，迫使 AOMEI 客户端通过 WebDAV 请求远程资源，从而向攻击者发送 NetNTLMv2 认证哈希。

多阶段载荷包括 CrossRoad dropper、修改版 Radmin Server 和 Adaptix C&C 框架。CrossRoad 执行系统校验、清理和载荷暂存，为后期后门建立持久化，并从磁盘删除自身；最终载荷为 ShinyRoad 模块化后门框架。7月 ShinyRoad 成功部署后，UNC7017 还投放了 AdaptAgent，属于 Adaptix C2 后利用框架的一部分。

厂商响应方面，METAL 于6月初首次通知 AOMEI 潜在篡改，厂商当时驳回，称内容可能在传输中被拦截修改；Google Cloud 于7月中旬再次通知，AOMEI 在7月底表示已采取纠正措施。建议对2026年4月至7月期间更新或运行过 AOMEI Backupper 的Windows主机重点排查：Radmin Server 目录及异常DLL、WebDAV相关外连和 NetNTLMv2 认证异常、CrossRoad/ShinyRoad/AdaptAgent 相关痕迹，并确认是否已应用厂商纠正措施。Google Cloud 指出，此类短时配置篡改相较源码或构建管线投毒开销更低、隐蔽性更高，供应链攻击手法正在演变。