Для: людей и организаций, которые дома или на работе используют AOMEI Backupper — программу резервного копирования для Windows, и ИТ-специалистов, управляющих ПК, где она установлена. Статья основана на официальном заявлении AOMEI и не описывает методы атак, содержимое вредоносного ПО или индикаторы компрометации (IoC).
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
людей и организаций, которые дома или на работе используют AOMEI Backupper — программу резервного копирования для Windows, и ИТ-специалистов, управляющих ПК, где она установлена.
- ПодтвержденоСмотреть таблицу ↓
- Подмена файлов конфигурации сервера обновлений
- Три установленных окна
- Выпуск 8.5.1
Ещё 1
- Усиление защиты и перенос серверов
Названо как возможно затронутое
- Устройства, получившие изменённую конфигурацию
- Информация, связанная с аутентификацией Windows
- Пока не подтверждено
- Число затронутых пользователей или устройств
- Затронутые версии и редакции
- Были ли окна подмены помимо трёх установленных
Ещё 1
- Была ли информация аутентификации Windows действительно раскрыта
- Что сделать сейчасСмотреть шаги ↓
- Запустите AOMEI Security Scanner с официальной страницы заявления
- Обновитесь до AOMEI Backupper 8.5.1
- Обновите защитное ПО и выполните полную проверку
Ещё 2
- Смените пароль учётной записи Windows или домена
- Если что-то найдено, обратитесь в компанию и не восстанавливайте недавние резервные копии вслепую
- Где проверить (источник)Все источники ↓
- AOMEI, «Statement on Ephemeral Tampering with the AOMEI Backupper Update Server» (опубликовано 19 октября 2026 года, последнее обновление
- Последняя проверка
- По состоянию на 31 октября 2026 года
Планы обновлений и что мы проверили
В заявлении говорится: «Выводы и рекомендации могут обновляться по мере продвижения расследования». На 31 октября на странице было указано «Last Updated on October 30, 2026».
Что пользователям AOMEI Backupper делать сегодня
Запустите AOMEI Security Scanner с официальной страницы заявления
Первый шаг по версии компании — проверить ПК с помощью AOMEI Security Scanner, который ищет известные на данный момент индикаторы этого инцидента. Компания говорит, что обновление до 8.5.1 не заменяет эту проверку.
Откройте заявление компании сами (ссылка в разделе «Источники») и используйте ссылку для скачивания оттуда, а не из письма или поисковой рекламы. В заявлении опубликованы имя цифровой подписи сканера и значение SHA-256; компания предупреждает, что они могут меняться при обновлении инструмента, поэтому сверяйтесь со страницей в день скачивания.
Обновитесь до AOMEI Backupper 8.5.1
Компания выпустила 8.5.1 19 октября 2026 года и сообщает, что версия устраняет найденные на данный момент проблемы безопасности и добавляет меры защиты. Если у вас более ранняя версия, обновитесь как можно скорее со страницы загрузки компании (www.aomeitech.com/download.html). Версия указана в окне программы «About».
Компания отключила задействованные механизмы обновления внутри приложения, поэтому не полагайтесь на собственное предложение приложения обновиться.
Обновите защитное ПО и выполните полную проверку
Компания говорит, что даже после первых двух шагов нельзя исключить другие риски на устройстве. Она рекомендует обновить установленное защитное ПО и выполнить проверку. Если результат неоднозначен, она советует повторную проверку надёжным бесплатным сканером, установленным из официального источника (в заявлении назван один).
Смените пароль учётной записи Windows или домена
Компания сообщает, что некоторые устройства могли подвергаться риску раскрытия информации, связанной с аутентификацией Windows, и отмечает, что такое раскрытие не подтверждено. Она рекомендует сменить пароль учётной записи Windows или домена, используемой на ПК, а также на других устройствах с тем же паролем. Смены одного лишь PIN-кода Windows Hello недостаточно.
Если проверка что-то нашла, меняйте пароль с другого, чистого устройства. Пароль, введённый на заражённом ПК, может быть перехвачен снова.
Если что-то найдено, обратитесь в компанию и не восстанавливайте недавние резервные копии вслепую
Компания сообщает, что окажет техническую поддержку, в том числе удалённую, через отдельный контактный адрес на странице заявления. Если что-то обнаружено, проверьте резервные копии, сделанные после 28 мая 2026 года, прежде чем восстанавливать их, потому что резервная копия заражённой системы может вернуть проблему (см.: основы резервного копирования и восстановления).
Что произошло (по заявлению AOMEI)
Изложенное ниже основано на заявлении AOMEI, опубликованном 19 октября 2026 года и последний раз обновлённом 30 октября, в котором приводится отчёт о расследовании группы анализа угроз одной компании по безопасности (опубликован 16 октября).
Апрель–июль 2026 года
Согласно отчёту о расследовании, файлы конфигурации на сервере обновлений AOMEI Backupper изменяются на несколько минут, а затем возвращаются в исходное состояние.28 мая, 05:40–05:50 UTC
Первое установленное окно (10 минут).16 июля, 08:33–08:39 UTC
Второе установленное окно (6 минут).20 июля, 10:35–10:40 UTC
Третье установленное окно (5 минут).К 29 июля
Получив уведомление, AOMEI усиливает защиту серверов обновлений. Исследователи сообщают, что в рамках их мониторинга связанной активности больше не было.5 августа
Служба обновлений переносится на новый сервер с дополнительными мерами безопасности.19 октября
AOMEI публикует заявление и выпускает AOMEI Backupper 8.5.1.30 октября
Последнее обновление заявления.
Время выше указано в UTC. По японскому времени окна были 28 мая, 14:40–14:50; 16 июля, 17:33–17:39; и 20 июля, 19:35–19:40.
Большую часть времени
Сервер обновлений отдавал обычную конфигурацию
Во время окна
ПК, проверявший обновления, мог получить изменённую конфигурацию, указывавшую на вредоносные файлы
После
Файл возвращали на место, поэтому последующая проверка сервера ничего не показывала
Исправление сервера не очищает ПК, который уже что-то получил. Поэтому компания просит пользователей проверить свои устройства.
- Что произошло
- Кратковременная подмена файлов конфигурации на сервере обновлений AOMEI Backupper с апреля по июль 2026 года; каждое изменение держалось примерно пять–десять минут
- Возможные последствия
- В эти окна изменённая конфигурация могла направить программу на скачивание вредоносных файлов
- Установленные окна
- 28 мая, 16 июля и 20 июля 2026 года (UTC). Круг затронутых пользователей всё ещё выясняется
- Меры в ПО
- Задействованные механизмы обновления внутри приложения отключены; для удалённых файлов конфигурации добавлены проверка подписи и шифрование; клиент отклоняет файлы, не прошедшие проверку подписи
- Меры на серверах
- Старый сервер обновлений отключён; служба обновлений перенесена на новый сервер; в 8.5.1 обновления ПО отделены от маркетинговых уведомлений; мониторинг усилен
- Просьбы к пользователям
- Проверить ПК AOMEI Security Scanner, обновиться до 8.5.1, проверить защитным ПО, сменить пароль учётной записи Windows или домена
Что известно и что пока нет
Состояние на 31 октября 2026 года. При появлении новых сведений столбец статуса будет обновлён.
| Пункт | Что говорится в заявлении | Статус |
|---|---|---|
| Подмена файлов конфигурации сервера обновлений | Повторяющиеся кратковременные изменения, апрель–июль 2026 года | Подтверждено (отчёт о расследовании, на который ссылается компания) |
| Три установленных окна | 28 мая, 16 июля, 20 июля 2026 года (UTC) | Подтверждено (компания) |
| Устройства, получившие изменённую конфигурацию | Могли подвергаться риску | Возможно (компания) |
| Информация, связанная с аутентификацией Windows | Некоторые устройства могли подвергаться риску её раскрытия; не подтверждено | Возможно (компания) |
| Выпуск 8.5.1 | 19 октября 2026 года | Подтверждено (компания) |
| Усиление защиты и перенос серверов | К 29 июля; новый сервер 5 августа | Подтверждено (компания) |
| Затронутые версии и редакции | Не перечислены. Пользователей версий до 8.5.1 просят обновиться | Не указано |
| Число затронутых пользователей или устройств | Не указано; всё ещё оценивается | Расследуется |
| Окна помимо трёх установленных | В отчёте о расследовании говорится, что, вероятно, были и другие, которые не наблюдались | Расследуется |
| Другие продукты компании | В отчёте о расследовании говорится, что продукт компании для удалённого рабочего стола использует тот же процесс обновления; в заявлении компании упоминается только AOMEI Backupper | Не указано |
| Образы и файлы резервных копий | Не упоминаются | Не указано |
Как читать: «не указано» не значит «не затронуто»
Компания не сообщила, какие версии затронуты, и просит каждого пользователя выполнить четыре шага. Если вашей версии нет в списке, это не значит, что ваш ПК был вне зоны воздействия, потому что списка пока нет.
К чему может привести подменённое обновление
В целом вредоносные файлы, доставленные через обновление ПО, могут делать следующее. Это не значит, что всё это произошло в данном случае.
- Запускаться с теми же правами, что и программа обновления, — у ПО резервного копирования это часто права администратора
- Оставлять что-то, что снова запускается после перезагрузки, так что удаления исходной программы недостаточно
- Давать кому-то удалённый доступ к ПК, а оттуда — к общим папкам и другим ПК в той же сети
- Перехватывать пароли или данные аутентификации — поэтому компания и просит сменить пароль Windows
В отчёте о расследовании говорится, что среди файлов, доставленных в этой кампании, были загрузчики и бэкдоры, дающие удалённый доступ. Похожий случай на стороне веба: вредоносное ПО в Rank Math PRO 3.0.123, когда обновление платного плагина около 11 часов распространялось с вредоносным ПО.
Для ИТ-специалистов: проверки на множестве ПК
Это защитные проверки на основе заявления компании и отчёта о расследовании. Они не оценивают действия AOMEI.
- Найдите все ПК с AOMEI Backupper. Используйте инвентаризацию ПО или систему управления конечными точками. Отметьте версию и то, был ли ПК включён в три окна.
- Проверяйте период с апреля по июль 2026 года, а не только сегодняшний день. В отчёте отмечается, что исправление сервера не очищает конечные точки, которые уже что-то скачали, и что проверка сервера поставщика сейчас показывает чистые файлы. Просмотрите на этих ПК запланированные задачи и новые программы, запущенные программой обновления.
- Заблокируйте на межсетевом экране исходящий трафик обмена файлами (SMB и WebDAV) в интернет. Это рекомендует отчёт. Это также ограничивает распространённый способ отправки данных аутентификации Windows наружу.
- Сбросьте доменные пароли пользователей затронутых ПК в соответствии с советом компании и проверьте журналы входа этих учётных записей.
Источники (публичные сведения)
Факты в статье основаны на перечисленных ниже публичных сведениях. Подробное поведение вредоносного ПО и значения IoC здесь не воспроизводятся; смотрите их в официальном заявлении и отчёте.
- AOMEI, «Statement on Ephemeral Tampering with the AOMEI Backupper Update Server» (опубликовано 19 октября 2026 года, последнее обновление — 30 октября) — aomeitech.com
- AOMEI, страница загрузки AOMEI Backupper — aomeitech.com
- Группа анализа угроз одной компании по безопасности, отчёт о расследовании, на который ссылается заявление компании (16 октября 2026 года) — cloud.google.com
История обновлений
2026-10-31: Первая версия, основанная на заявлении AOMEI (опубликовано 19 октября, последнее обновление — 30 октября) и отчёте о расследовании, на который оно ссылается. Статья будет обновлена, когда компания опубликует новые сведения.
Читайте далее
- Инцидент того же типа: Rank Math PRO 3.0.123 распространялся с вредоносным ПО
- Резервные копии, которые не возвращают проблему: Основы резервного копирования и восстановления
- Термины: Что такое бэкдор / Что такое вредоносное ПО
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года