Что подтверждено источником
Mandiant расследовала компрометацию инфраструктуры обновлений AOMEI с апреля по июль 2026 года. По данным исследователей, конфигурацию подменяли короткими интервалами по пять–десять минут; в цепочке применялись загрузчик CROSSROAD и бэкдор SHINYROAD.
Google Threat Intelligence / Mandiant: Investigating Ephemeral Supply Chain Tampering
Далее — редакционный разбор и практические рекомендации Virusologia.
Проблема: чистый результат не доказывает отсутствие атаки
Если проверка сервера попала вне окна подмены, оригинальный файл может выглядеть нормально. Это ограничение разового наблюдения, а не свидетельство того, что все обновления были безопасны.
Решение: проверяйте происхождение и изменения
Инвентаризируйте каналы обновлений и доверенные подписи, ограничьте права на сервере обновлений, включите журналирование и оповещения об изменении конфигурации. Проверяйте подписи и хэши по доверенному каналу, а не по данным с того же потенциально скомпрометированного сервера.
Что делать при подозрении
Сохраните журналы, сведения о загрузках и образцы в соответствии с планом реагирования. Выясните затронутые версии и временное окно по бюллетеням поставщика; изолируйте затронутые системы и перевыпустите доступные им секреты после оценки инцидента.
Проверка локального файла
sha256sum update-package
# Сравнивайте с контрольной суммой из независимого доверенного канала.