AOMEI Backupper 업데이트로 백도어 유포…당시 사용 PC 점검 필요

윈도용 백업·디스크 복제 프로그램 AOMEI Backupper의 업데이트·알림 경로가 2026년 4~7월 백도어 유포에 악용됐습니다. 구글 위협 인텔리전스 그룹(GTIG)과 맨디언트가 10월 16일 공개한 보고서는 당시 프로그램을 사용한 PC에 대해, 서버 시정 조치와 별개로 과거 감염 흔적을 점검할 것을 권고합니다.

5~10분 동안 바뀐 업데이트 안내

공격자는 AOMEI 배포 서버의 업데이트 설정 파일 down_html.ini와 알림 설정 파일 Notifycfg.ini를 5~10분씩 변조한 뒤 원래대로 돌려놓았습니다. 정상 업데이트와 팝업을 처리하는 경로가 악성 ZIP 파일을 전달하고 실행하는 데 쓰였습니다.

프로그램이 실행 중인 상태에서 그 시간대에 서버를 조회한 PC가 악성 파일과 실행 지시를 받았습니다. 관측된 실행 경로에서는 추가 클릭이 필요하지 않았지만, 단순히 설치돼 있었다는 이유만으로 감염을 단정할 수는 없습니다.

HTTPS 통신과 MD5 체크섬 일치만으로는 이를 막지 못했습니다. 공격자가 설정 파일 안의 다운로드 주소와 예상 체크섬을 함께 바꿨고, 프로그램은 해당 설정 파일을 전자서명으로 검증하지 않았습니다.

파일은 지워졌지만 실행 기록은 남았습니다

ManageEngine 위협 분석 연구소(METAL)는 5월 28일 서로 무관한 두 고객 환경에서 같은 악성 실행 경로를 포착했고, 7월 16일에는 배포 경로의 변조를 직접 관측했습니다. 초기 다운로드 도구가 스스로 삭제된 탓에, 조사는 실행 당시 보안 솔루션이 남긴 기록에서 출발했습니다.

CROSSROAD 다운로드 도구는 예약 작업을 만들었고, 이후 정상 서명된 Radmin 실행 파일이 악성 DLL을 불러오는 경로로 SHINYROAD 백도어가 실행됐습니다. Radmin 자체가 악성코드인 것은 아닙니다. 실행 파일에 정상 서명이 있어도 함께 불러온 DLL까지 안전하다는 뜻은 아니라는 점이 이 사례에서 드러났습니다.

맨디언트는 7월 17일 AOMEI에 통보했고, AOMEI는 7월 29일 시정 조치를 했다고 답했습니다.

4~7월 사용 기록에서 살필 흔적

배포 서버를 고쳤다고 이미 악성 파일을 받은 PC까지 정리되지는 않습니다. 예약 작업과 백도어가 남을 수 있어, Backupper나 같은 업데이트·알림 흐름을 쓰는 원격 접속 프로그램 AnyViewer를 사용한 조직은 2026년 4~7월 단말·네트워크 기록을 살펴야 합니다.

확인 대상에는 승인되지 않은 RadminComponentRuntime 예약 작업, AOMEI의 html 폴더에서 실행된 서명 없는 upgrade-now.exe 같은 흔적이 있습니다. 각각은 조사가 필요한 신호이며, 단독으로 감염을 확정하는 증거는 아닙니다. 관련 경보가 있었다면 캐시에 남은 설정·임시 파일을 보존하고, 경보 발생 시각의 네트워크 기록과 함께 살펴야 합니다.

두 연구 보고서에는 상세 침해 지표와 YARA·Sigma 탐지 규칙이 실려 있습니다. 관련 기록을 확보하기 어려운 개인 사용자는 파일을 임의로 삭제하기보다, 제품명과 사용 시기를 정리해 보안 지원을 요청하는 편이 좋습니다.