适用对象：在家中或工作中使用 Windows 备份软件 AOMEI Backupper 的个人和组织，以及管理安装了该软件的电脑的 IT 人员。本文基于 AOMEI 的官方声明，不涉及攻击手法、恶意软件的内容或入侵指标（IoC）。
事态发展中：本文将随机构发布更多信息而更新
- 适用对象
在家中或工作中使用 Windows 备份软件 AOMEI Backupper 的个人和组织，以及管理安装了该软件的电脑的 IT 人员。
- 已确认的影响范围查看表格 ↓
- 更新服务器配置文件遭篡改
- 已确定的三个时间段
- 8.5.1 的发布
另外1项
- 服务器加固和迁移
被列为可能涉及的项目
- 收到被修改配置的设备
- Windows 认证相关信息
- 尚未确认的事项
- 受影响的用户或设备数量
- 受影响的版本和版本类型
- 除已确定的三个时间段外是否还有其他篡改时间段
另外1项
- Windows 认证信息是否实际被暴露
- 现在要做的事查看步骤 ↓
- 运行从官方声明页面获取的 AOMEI Security Scanner
- 更新到 AOMEI Backupper 8.5.1
- 更新您的安全软件并进行完整扫描
另外2项
- 更改 Windows 账户或域账户的密码
- 如果发现问题，请联系公司，不要贸然还原近期的备份
- 核实来源（出处）全部来源 ↓
- AOMEI，「Statement on Ephemeral Tampering with the AOMEI Backupper Update Server」（2026 年 10 月 19 日发布，最后更新于 10 月 30 日）— aomeitech.com
- 最后核实
- 截至 2026 年 10 月 31 日
续报计划与核实记录
声明写道：「调查结果和建议可能会随着调查的进展而更新。」截至 10 月 31 日，该页面显示「Last Updated on October 30, 2026」。
AOMEI Backupper 用户今天应该做什么
运行从官方声明页面获取的 AOMEI Security Scanner
公司给出的第一步是用 AOMEI Security Scanner 扫描电脑，它会检查此次事件目前已知的迹象。公司表示，更新到 8.5.1 不能代替这项检查。
请自己打开公司的声明（链接见参考来源），使用其中的下载链接，而不是邮件或搜索广告中的链接。声明公布了扫描工具的数字签名名称和 SHA-256 值，并表示工具更新时这些值可能会改变，因此请与下载当天的页面进行比对。
更新到 AOMEI Backupper 8.5.1
公司于 2026 年 10 月 19 日发布了 8.5.1，并表示该版本解决了目前发现的安全问题，并增加了防护措施。如果您使用的是更早的版本，请尽快从公司的下载页面（www.aomeitech.com/download.html）更新。版本号显示在程序的「关于」界面中。
公司已关闭了涉及的应用内更新机制，因此不要依赖应用自身的更新提示。
更新您的安全软件并进行完整扫描
公司表示，即使完成了前两个步骤，也无法排除设备上的其他风险。公司建议更新已安装的安全软件并进行扫描。如果结果不能得出结论，公司建议再用一款从官方来源安装的知名免费扫描工具进行第二次扫描（声明中列出了一款）。
更改 Windows 账户或域账户的密码
公司表示，部分设备可能面临 Windows 认证相关信息被暴露的风险，同时指出这种暴露尚未得到确认。公司建议更改该电脑上使用的 Windows 账户或域账户的密码，以及使用相同密码的其他设备上的密码。只更改 Windows Hello PIN 是不够的。
如果扫描发现了问题，请在另一台干净的设备上更改密码。在受感染的电脑上输入的密码可能会再次被窃取。
如果发现问题，请联系公司，不要贸然还原近期的备份
公司表示，将通过其声明页面上的专用联系地址提供技术支持，包括远程协助。如果检测到任何问题，请在还原之前检查 2026 年 5 月 28 日之后制作的备份，因为受感染系统的备份可能把问题带回来（参阅：备份与恢复要点）。
发生了什么（依据 AOMEI 的声明）
以下内容基于 AOMEI 于 2026 年 10 月 19 日发布、10 月 30 日最后更新的声明，该声明援引了一家安全公司威胁情报团队的调查报告（10 月 16 日发布）。
2026 年 4 月至 7 月
根据调查报告，AOMEI Backupper 更新服务器上的配置文件每次被修改几分钟，随后被还原。5 月 28 日 05:40–05:50 UTC
已确定的第一个时间段（10 分钟）。7 月 16 日 08:33–08:39 UTC
已确定的第二个时间段（6 分钟）。7 月 20 日 10:35–10:40 UTC
已确定的第三个时间段（5 分钟）。7 月 29 日前
收到通知后，AOMEI 加固了更新服务器。研究人员报告称，在其监测范围内未再发现相关活动。8 月 5 日
更新服务迁移到具有额外安全控制的新服务器。10 月 19 日
AOMEI 发布声明，并发布 AOMEI Backupper 8.5.1。10 月 30 日
声明的最后更新。
以上时间为 UTC。换算成日本时间，这些时间段为 5 月 28 日 14:40–14:50、7 月 16 日 17:33–17:39 和 7 月 20 日 19:35–19:40。
大部分时间
更新服务器返回正常的配置
在某个时间段内
检查更新的电脑可能收到指向恶意文件的被修改配置
之后
文件被改回，所以之后检查服务器看不出任何异常
修复服务器并不能清理已经收到了某些东西的电脑。这就是公司要求用户扫描自己设备的原因。
- 发生了什么
- 2026 年 4 月至 7 月期间，AOMEI Backupper 更新服务器上的配置文件遭到短时间篡改，每次修改持续约五到十分钟
- 可能的影响
- 在这些时间段内，被修改的配置可能引导软件下载恶意文件
- 已确定的时间段
- 2026 年 5 月 28 日、7 月 16 日和 7 月 20 日（UTC）。受影响用户的范围仍在调查中
- 软件方面的措施
- 关闭受影响的应用内更新机制；为远程配置文件增加签名校验和加密；客户端拒绝签名校验失败的文件
- 服务器方面的措施
- 旧的更新服务器下线；更新服务迁移到新服务器；8.5.1 中将软件更新与营销通知分离；加强监控
- 对用户的要求
- 用 AOMEI Security Scanner 扫描，更新到 8.5.1，用安全软件扫描，更改 Windows 账户或域账户的密码
已知与未知的内容
截至 2026 年 10 月 31 日的状态。有后续消息时，将更新状态栏。
| 项目 | 声明内容 | 状态 |
|---|---|---|
| 更新服务器配置文件遭篡改 | 2026 年 4 月至 7 月期间多次短时间修改 | 已确认（公司援引的调查报告） |
| 已确定的三个时间段 | 2026 年 5 月 28 日、7 月 16 日、7 月 20 日（UTC） | 已确认（公司） |
| 收到被修改配置的设备 | 可能面临风险 | 有可能（公司） |
| Windows 认证相关信息 | 部分设备可能面临被暴露的风险；未确认 | 有可能（公司） |
| 8.5.1 的发布 | 2026 年 10 月 19 日 | 已确认（公司） |
| 服务器加固和迁移 | 7 月 29 日前；8 月 5 日迁移到新服务器 | 已确认（公司） |
| 受影响的版本和版本类型 | 未列出。要求 8.5.1 之前版本的用户更新 | 未说明 |
| 受影响的用户或设备数量 | 未说明；仍在评估中 | 调查中 |
| 已确定的三个时间段以外的时间段 | 调查报告表示，很可能还有未被观察到的时间段 | 调查中 |
| 公司的其他产品 | 调查报告表示，公司的远程桌面产品使用相同的更新流程；公司的声明只提到了 AOMEI Backupper | 未说明 |
| 备份映像和文件 | 未提及 | 未说明 |
如何解读：「未说明」不等于「未受影响」
公司没有说明哪些版本受影响，并要求每一位用户都采取四个步骤。在清单中找不到您的版本，并不意味着您的电脑不在范围内，因为目前还没有清单。
被篡改的更新可能导致什么
一般来说，通过软件更新送达的恶意文件可能做到以下事情。这并不意味着此次已经全部发生。
- 以与更新程序相同的权限运行，对于备份软件来说，这往往是管理员级别
- 留下在重启后会再次启动的东西，因此仅删除原程序是不够的
- 让他人远程访问电脑，并由此访问共享文件夹和同一网络中的其他电脑
- 窃取密码或认证数据，这就是公司要求更改 Windows 密码的原因
调查报告描述，此次活动中送达的文件包括下载器和提供远程访问的后门。网站方面的类似案例：Rank Math PRO 3.0.123 恶意软件，一款付费插件的更新夹带恶意软件约 11 小时。
给 IT 人员：跨多台电脑的检查
以下是从公司的声明和调查报告中归纳的防御性检查，并不评价 AOMEI 的应对。
- 找出所有装有 AOMEI Backupper 的电脑。 使用软件资产清单或终端管理工具。记录版本，以及电脑在三个时间段内是否开机。
- 回溯检查 2026 年 4 月至 7 月，而不仅仅是今天。 报告指出，修复服务器并不能清理已经下载了某些东西的终端，而且现在检查厂商的服务器只会看到干净的文件。请检查这些电脑上的计划任务和由更新程序启动的新程序。
- 在防火墙上阻止发往互联网的出站文件共享流量（SMB 和 WebDAV）。 报告建议这样做。这也能限制 Windows 认证数据被发送到外部的一种常见途径。
- 按照公司的建议，重置受影响电脑用户的域密码，并检查这些账户的登录日志。
参考来源（公开记录）
本文中的事实基于以下公开信息。恶意软件行为的细节和 IoC 值不在此转载；请在官方声明和报告中确认。
- AOMEI，「Statement on Ephemeral Tampering with the AOMEI Backupper Update Server」（2026 年 10 月 19 日发布，最后更新于 10 月 30 日）— aomeitech.com
- AOMEI，AOMEI Backupper 下载页面 — aomeitech.com
- 一家安全公司的威胁情报团队，公司声明中援引的调查报告（2026 年 10 月 16 日）— cloud.google.com
更新记录
2026-10-31：首次发布，依据 AOMEI 的声明（10 月 19 日发布，最后更新于 10 月 30 日）及其援引的调查报告。公司发布更多信息时，本文将予以更新。
延伸阅读
- 同类事件：Rank Math PRO 3.0.123 夹带恶意软件
- 不会把问题带回来的备份：备份与恢复要点
- 术语：什么是后门 / 什么是恶意软件
- 2026 年其他事件：2026 年数据泄露与网络攻击