#安全资讯 傲梅备份工具被发现在 2026 年 4~7 月通过更新服务器投毒，攻击者疑似通过某种方式入侵更新服务器篡改配置文件。傲梅备份工具会通过 HTTPS 获取配置文件，研究发现傲梅没有对配置文件进行签名校验，而下载地址与 MD5 校验值又被放在相同的配置文件中。因此取得服务器修改权限的攻击者可以同时更换下载地址和校验值诱导客户端更新。目前傲梅回应是首席技术官已经在牵头调查，但具体情况暂时还不清楚。查看全文：https://ourl.co/127484

据谷歌威胁情报团队、Mandiant 以及 ManageEngine 发布的安全报告，知名备份工具傲梅备份在 2026 年 4~7 月期间通过更新服务器投毒。调查发现攻击者应该是通过某种方式篡改傲梅备份的更新和通知配置，因此当用户检查更新时会被下载和运行恶意软件。

傲梅备份会通过 HTTPS 获取两份远程配置文件，其中 down_html.ini 提供更新包下载地址和 MD5 校验值，而 Notifycfg.ini 则用于控制应用通知及相关内容的运行。研究发现客户端没有对配置文件进行数字签名校验，而下载地址与校验值又写在相同的配置文件中，因此取得服务器修改权限的攻击者可以同时更换下载位置和校验值。

攻击者利用傲梅备份内置的推广内容流程，将恶意压缩包下载到程序目录再通过通知机制触发。检查更新的用户只有在服务器配置被篡改的短暂时段内才会收到恶意内容，其他时间服务器返回的都是正常配置文件。

谷歌威胁情报团队和 ManageEngine 抓到 3 次配置篡改：5 月 28 日持续 10 分钟、7 月 16 日持续 6 分钟、7 月 20 日持续 5 分钟。研究团队认为受攻击者短时修改文件的方式影响，其他活动窗口可能无法观测到异常。不过谷歌在 11 个国家或地区发现恶意样本，涉及 IT 服务、电信和高等教育领域，但谷歌并未公布受感染设备数量。

攻击者投放的下载器名为 CROSSROAD，该下载器会建立计划任务并部署 SHINYROAD 后门程序。攻击链借用正版软件管理软件 Radmin 的组件，通过侧载恶意 DLL 运行后门。7 月 20 日的攻击活动还利用隐藏的 1 像素弹窗连接攻击者控制的 WebDAV 资源，试图诱导系统发送 NTLMv2 认证响应。

傲梅在回应谷歌威胁情报团队披露时表示，已经对服务器采取纠正措施。傲梅表示该公司首席技术官正在牵头调查，不过截至本文发布时傲梅尚未发布官方公告，也没有公布具体的调查结果。

另外如果此前设备已经被感染恶意软件，那用户必须处置，因为傲梅修复服务器问题并不能远程清除已经部署的后门程序，所以用户可能还是要依赖其他杀毒软件进行全盘扫描，必要时最好直接重装系统。

消息源：谷歌威胁情报团队博客

热门推荐仅需99元/年，硅谷CN2GIA服务器，另有3年版仅需528元，限量销售，售完即止