据 BleepingComputer 报道，攻击者入侵了 AOMEI 的服务器，借 Windows 备份软件 AOMEI Backupper 内置的推广与通知功能分发恶意软件，并在几分钟内把被篡改的配置文件还原，以掩盖攻击。ManageEngine 威胁分析实验室（METAL）与谷歌威胁情报团队（GTIG）、Mandiant 联合调查，谷歌将这起活动归于代号 UNC7017 的攻击者。
报道称，这起供应链攻击发生在 2026 年 4 月至 7 月间，目标是 AOMEI Backupper 的更新与通知系统。5 月 28 日，ManageEngine 发现，两家不相关公司的电脑上，AOMEI Backupper 的推广进程突然安装了远程管理工具 Radmin。
研究人员起初在自己的测试系统上无法复现，软件下载到的是正常的配置文件。进一步测试后他们发现，攻击者并未长期替换服务器上的文件，而是短暂修改了两个配置文件：
down_html.ini：指定更新包的下载地址；Notifycfg.ini：控制通知，并可触发内容在电脑上运行。软件因此下载了恶意压缩包，再经通知机制在无需用户操作的情况下执行。攻击者还改动了更新配置中的预期校验值，让恶意压缩包通过软件自身的文件校验。谷歌随后在自己的测试中确认了这条执行流程。
谷歌和 ManageEngine 确认了三个服务器下发恶意配置的窗口，均为 UTC 时间：
窗口期间被安装的是此前未知的下载器 CROSSROAD 和后门 SHINYROAD。后者借合法的 Radmin 组件加载恶意代码，并与攻击者控制的命令与控制（C2）服务器建立外连。此外，谷歌在 7 月 20 日的攻击中还观察到另一种手法：通过隐形弹窗，迫使软件的通知系统访问攻击者控制的 WebDAV 资源，以窃取 Windows 的 NTLM 哈希。
研究人员在美国、澳大利亚、印度、新加坡、西班牙、瑞士等国家发现了受影响机构，涉及 IT 服务、电信、高等教育等行业。谷歌称，这些攻击具有机会性，在恶意文件分发的短暂时段内检查过更新的其他机构也可能受到影响。
ManageEngine 称，6 月 7 日首次就可疑活动通知了 AOMEI。AOMEI 起初认为内容可能在传输途中被拦截并篡改，研究人员不认同这一解释。谷歌的报告提到，Mandiant 于 7 月 17 日就配置文件篡改一事通知 AOMEI，AOMEI 于 7 月 29 日回复称已采取纠正措施。
AOMEI 对 BleepingComputer 表示，已将此事列为高优先级，由 CTO 牵头专项调查。AOMEI 没有立即确认攻击者如何获得其更新基础设施的访问权限，也没有确认此次入侵是否已完全解决。
ManageEngine 指出，服务器端的修复只能阻止新的感染，无法清除此前窗口期内已收到后门的机器。报道称，使用 AOMEI Backupper 的机构应对照谷歌和 ManageEngine 公布的入侵指标进行排查，包括可疑的计划任务、AOMEI 安装目录中的异常可执行文件，以及对攻击者基础设施的连接。
