傲梅备份更新服务器5分钟内遭投毒 波及11国多行业设备残留后门

2026年5月至7月，国产备份软件傲梅备份（AOMEI Backupper）官方更新服务器遭遇针对性攻击。攻击者未长期控制服务器，而是多次实施‘短时投毒’：每次篡改持续仅5至10分钟，精准替换更新包内容，在签名有效前提下完成‘签名后篡改’（Post-signature Tampering），使客户端在无感知状态下下载并执行含后门的二进制文件。该手法规避了常规小时级日志审计与非实时哈希校验机制，属新型供应链攻击模式。

技术分析显示，攻击可能通过临时写权限获取实现，如凭证泄露、API密钥硬编码或第三方运维平台漏洞，未涉及DNS或BGP劫持。受影响更新包虽经合法数字签名，但内容在签名后、分发前被替换，凸显更新分发环节防护薄弱。由于傲梅备份常以SYSTEM权限自启运行，后门易实现持久化驻留，并可横向移动窃取密钥、数据库及域凭证。

事件波及11个国家的个人与企业用户，涵盖金融、制造、医疗等多个关键行业。服务器修复后，已感染设备仍残留后门，需主动排查异常进程（如非常规路径的backup或svc类进程）并阻断恶意网络连接。部分安全厂商已发布YARA规则，针对PE节区异常特征进行检测。

行业层面，中国网络安全审查技术与认证中心（CCRC）已在《软件供应链安全指南（2026修订版）》中新增秒级完整性快照比对要求；厂商正推动更新包双因子验证，结合独立第三方Merkle树根哈希校验。傲梅科技目前已升级机制，增加更新包来源IP白名单与客户端二次哈希校验功能。用户短期建议暂停自动更新，手动核验SHA256哈希值，并审计备份软件权限与网络策略。