AOMEI（アオメイ）Backupperの更新サーバーが改ざんされ、正規のソフトウェア経由でバックドア型マルウェアを配布するサプライチェーン攻撃の全容が、GoogleとManageEngineの共同調査で明らかにされました。攻撃者は設定ファイルを数分間だけ書き換えては元に戻す「エフェメラル（一過性）」な手口を用いることで検知を回避、米国やインドなど複数国の組織が被害を受けました。開発元のAOMEIはCTO（最高技術責任者）を中心に調査を進めていますが、すでに感染した端末のバックドア除去には至っていないと警告されています。
発見のきっかけ：正規のソフトウェアが突然リモート管理ツールをインストール
この攻撃の発見は、ManageEngineの脅威分析ラボ（METAL）が、顧客環境で検知した不審な動作を調査したことがきっかけでした。異なる国の2社の環境で、AOMEI Backupperが正規のリモート管理ツール「Radmin」を突然インストールするという共通の異常が確認されたのです。
研究者らが自社のテスト環境で再現を試みたところ、AOMEIのサーバーからは正規の設定ファイルがダウンロードされるだけで、何も起こりませんでした。この不可解な現象が、高度なサプライチェーン攻撃の存在を示す最初の手がかりでした。
攻撃の仕組み：2つの設定ファイルの短期改ざん
調査の結果、攻撃者グループ「UNC7017」はAOMEIのサーバーに侵入し、ソフトウェアのプロモーション・通知機能を制御する以下の2つの設定ファイルを、ごく短時間だけ書き換えていたことが判明しました。
- down_html.ini：アップデートパッケージのダウンロード元を指定する設定ファイル
- Notifycfg.ini：アプリ内通知の表示内容を制御する設定ファイル
攻撃者はdown_html.iniを改ざんして悪意のあるZIPファイルをダウンロードさせ、同時にNotifycfg.iniを書き換えることで、ユーザーの操作を介さずにマルウェアを実行させていました。さらに、改ざん後の整合性チェックを通過させるためチェックサムも書き換えており、正規のアップデートとして処理されていました。
実際に悪意のある設定ファイルが配信された時間帯は以下の通りで、合計してもわずか21分間でした。
- 5月28日：10分間（UTC 05:40～05:50）
- 7月16日：6分間（UTC 08:33～08:39）
- 7月20日：5分間（UTC 10:35～10:40）
配布されたマルウェア：ダウンローダーとバックドアの2段階攻撃
配布されたマルウェアは2段階で構成されていました。まずダウンローダー型の「CROSSROAD」が実行され、感染端末の情報収集、追加コンポーネントのダウンロード、スケジュールタスクを使った永続化を実行。続いて、正規のRadminのコンポーネントを悪用して動作するバックドア「SHINYROAD」が展開され、攻撃者のC2サーバーへの接続を確立します。
さらに、7月20日の攻撃では、Windowsの認証情報（NTLMハッシュ）を窃取する第2の手口も確認されています。アプリの通知機能を悪用し、目に見えないポップアップを開かせることで、攻撃者の管理するWebDAVリソースに強制的に接続させていたのです。
AOMEIの対応と残る課題
ManageEngineは6月7日にAOMEIに最初の警告を発しました。しかしAOMEIは当初、自社サーバーの改ざんではなく、通信経路上でのデータ改ざん（中間者攻撃）の可能性が高いと主張。研究者らは、HTTPS通信がAOMEIの自社ホスト名に対して行われていたことなどからこの説明を否定しています。
最終的に、7月16日に攻撃が再現されたことを受け、AOMEIは事態を重く見てCTO主導の調査を開始。サーバーのアップグレードやパッチ適用を実施したと報告しています。ただし、研究者らは「サーバー側の修正は今後の感染を防ぐものであり、すでに感染した端末のバックドアを除去するものではない」と強く警告しています。
ユーザーと企業に求められる対応
本インシデントは、一過性のサーバー改ざんが甚大な被害をもたらし得るサプライチェーン攻撃の典型例です。開発元のAOMEIは日本市場にも積極的に展開しており、日本語に対応したバックアップソフトとして広く利用されているだけに、日本国内のユーザーも決して対岸の火事ではありません。
影響を受けた可能性のある組織は、GoogleおよびManageEngineが公開したIOC（侵害指標）である8.210.84.56やstorage-data.comなどのアドレス宛ての通信ログや、AOMEI Backupperのインストールディレクトリ内の不審な実行ファイルの有無を早急に確認すべきです。本件は、ソフトウェアサプライチェーンのセキュリティと、エンドポイントにおける常時監視の重要性を改めて強く問いかけています。
