MAKOSOYO Tech

ニュース

AOMEI Backupperの配信が改ざんされた件、自分のPCに入ったかはタスクスケジューラで確かめる

2026年5〜7月、AOMEI Backupperが宣伝ポップアップの素材を取りに行く先が数分だけ書き換えられ、その間に取りに行ったPCにバックドアが入った。サーバーはすでに直っているが、入ったバックドアは残る。個人のPCで確かめるタスク名とフォルダ、不審なものが見つかったときと感染が確かめられたときに分けたやること、7月20日の手口とパスワードの考え方、システムイメージから戻すときの注意を整理する。

この記事は2026年10月19日時点の情報をもとにしています。その後の状況の変化は原則として反映していません。

GoogleのセキュリティチームのGTIG（Google Threat Intelligence Group）とMandiantは10月15日、Windows用のバックアップソフト「AOMEI Backupper」を狙った攻撃の調査結果を公表した。AOMEIの配信サーバーにある設定ファイルが、2026年4月から7月にかけて、1回あたり5〜10分だけ書き換えられていた。その数分のあいだに設定ファイルを取りに行ったPCには、外から操作できるようにする不正なプログラム（バックドア）が入った。

AOMEI Backupperは、無料版の「Standard」がSSDへの引っ越しやシステムのバックアップに使われていて、個人のPCに入っていることも多い。日本語で出ている解説は企業のIT担当者向けのものが中心なので、ここでは個人のPCで何を確かめ、見つかったら何をするかを整理する。

先に結論

AOMEI Backupperを2026年4〜7月にPCに入れていたなら、タスクスケジューラに「RadminComponentRuntime」というタスクがないかを確かめる。 バックドアは、このタスクで3時間ごとに起動する仕組みになっている。最初に入り込んだプログラムは自分を消すが、このタスクは残る。

AOMEIはサーバー側を直したと説明しているが、それで個々のPCからバックドアが消えるわけではない。 調べたGTIGとManageEngineの両方が、サーバーの修正では入ってしまったPCはきれいにならないと書いている。

不審なタスクやフォルダが見つかったら、まずネットワークから外してスキャンする。 削除や初期化を急がず、タスクが何を実行しているか、フォルダに何が入っているかを確かめる。Radminという名前のフォルダがあるだけでは、感染したとは言えない。

報告にあるタスクとファイルの組み合わせがそろっていて、感染が確かめられたら、別の端末から大事なパスワードを変え、Windowsのクリーンインストールを考える。 システムイメージから戻すときは、感染する前に作られたものかが分からないと、バックドアも一緒に戻るおそれがある。

7月20日の改ざんでは、プログラムを動かさなくても、Windowsの認証情報を攻撃者のサーバーに送らせる仕掛けが使われた。 その時間帯（日本時間19時35分〜40分）にAOMEIのソフトが通信していた可能性があって心配なら、予防のためにパスワードを変えることを考える。ただし、認証情報が送られたとしても、それでWindowsのパスワードがそのまま流出したことにはならない。

何が起きた？

AOMEI Backupperは、PCの中で常に動いているプログラムが、定期的にAOMEIのサーバーへ設定ファイルを取りに行く。GTIGの報告によると、取りに行くファイルは2つある。

  • down_html.ini：ダウンロードするファイルの場所と、それが本物か確かめるための値（チェックサム）が書いてある
  • Notifycfg.ini：アプリ内に出すお知らせやポップアップの内容と、そのとき実行するものが書いてある

ソフトは、この2つのファイルがAOMEI本物のものかを確かめていなかった。ダウンロードしたファイルが本物かを確かめる値も、同じdown_html.iniの中に書いてある。そのため、攻撃者はこのファイルを書き換えるだけで、ダウンロード先も、確かめる値も、自分の用意したものに差し替えられた。ManageEngineの調査チームは、ソフトの脆弱性は使われておらず、利用者の操作も要らなかったと書いている。

ここで書き換えられたのは、ソフト本体の更新ではなく、アプリ内に出す宣伝ポップアップの素材を取りに行く仕組みだった。down_html.iniがあるのは、AOMEIのサーバーの/download/abpopup/という場所だ。設定でソフトの自動更新を止めていた場合にこの経路も止まっていたのかは、報告に書かれていない。

GTIGが確認した改ざんの時間帯は3回ある。日本時間にすると、どれも昼から夜の時間帯だった。

日付（2026年） 協定世界時（UTC） 日本時間
5月28日（木） 5時40分〜50分 14時40分〜50分
7月16日（木） 8時33分〜39分 17時33分〜39分
7月20日（月・海の日） 10時35分〜40分 19時35分〜40分

GTIGは、時間が短いので見えていない改ざんが他にもあった可能性が高いとしている。関係するマルウェアは4月下旬から見つかっている。

被害が確認された組織は、オーストラリア、ブラジル、インド、米国など11か国のIT企業、通信会社、大学などで、日本は入っていない。ただGTIGは、改ざんの最中に取りに行ったPCは何でも対象になったので、被害は確認できた範囲より広い可能性が高いとしている。件数は公表されていない。

AOMEIのリモートデスクトップソフト「AnyViewer」も同じ仕組みを使っているとGTIGは書いている。ただし、報告に出てくる検知の例はBackupperのものだ。ManageEngineが調べたのはバージョン8.3.0で、どのバージョンが対象になるかは、どちらの報告にも書かれていない。

入ったら何が起きるのか

最初に入るのは、GTIGが「CROSSROAD」と呼ぶプログラムだ。AOMEIの部品のように見せかけてあるが、電子署名がない。これが次の段階のファイルを取ってきて、タスクスケジューラにRadminComponentRuntimeというタスクを作る。そのあと、自分のファイルを消す。

タスクが3時間ごとに起動するのは、正規の遠隔操作ソフト「Radmin」の本物のプログラムだ。ただ、同じフォルダに攻撃者が作ったDLLファイルが置かれていて、起動したRadminがそれを読み込む。そこから「SHINYROAD」と呼ばれるバックドアが攻撃者のサーバーに接続し、命令を受け取る。

ManageEngineによると、このバックドアは、遠隔でコマンドを実行でき、新しいプログラムを後から受け取って動かせる。同社は、確認できた機能は「最低限」であり、上限ではないと書いている。後からどんなプログラムが送られたかは、PCごとに分からない。

7月中旬以降には、PDFソフト「Nitro PDF」の宣伝ツールに見せかけた別の遠隔操作ツールが送り込まれた例もあり、こちらはNitroRuntimeというタスクで起動していた。

すべてのPCで最後まで進んだわけではない。CROSSROADは、PCの場所が中国だと判定した場合や、場所を調べられなかった場合には止まる。ManageEngineによると、特定のセキュリティソフトが入っている場合にも止まる。どのセキュリティソフトかは公表されていない。報告には、攻撃者が対象を絞るためのIPアドレスの一覧とみられるファイルも出てくる。どの条件で次の段階に進んだのか、全体は分かっていない。

7月20日は、プログラムを動かさなくても認証情報を送らせる仕掛けが使われた

7月20日の改ざんでは、もう1つの仕掛けが加わった。Notifycfg.iniに、縦横1ピクセルの見えないポップアップを出す指示を入れ、その中身を攻撃者のサーバー上のファイルにしていた。

Windowsは、ネットワーク上のファイルを開こうとすると、相手のサーバーに認証情報を送ることがある。ここで送られるのは、パスワードそのものではなく、認証のやり取りの中でパスワードから計算された値（NetNTLMv2の応答）だ。攻撃者は、この値を使って手元でパスワードの候補を試したり、別のサーバーへの認証に中継したりできる。候補を試して割り出せるかは、パスワードの長さや推測されやすさで大きく変わる。ManageEngineは、この方法ならプログラムが動かなくても認証情報が漏れうるので、CROSSROADが途中で止まったPCでも油断できないと書いている。

どのアカウントの認証情報が使われるかは、PCの設定や通信したときの状況によって変わる。報告も、具体的にどのアカウントの、どの情報が送られたかまでは書いていない。Microsoftアカウントでサインインしている場合も、この通信だけで、そのMicrosoftアカウントのパスワードが流出したとは言えない。

GTIGの報告に載っている7月20日のNotifycfg.iniでは、このポップアップの見出しが「All Lang 不含EN」（「英語以外の全言語」という意味の中国語）になっていた。英語以外の言語で使っているPC、つまり日本語版も対象の枠だった可能性がある。これは見出しの文字からの推測で、報告がそう説明しているわけではない。

自分のPCで確かめること

確かめるのは、AOMEI BackupperかAnyViewerを、2026年4月から7月のあいだにPCに入れていた場合だ。今は消していても、その期間に入っていたなら確かめる。

1. タスクスケジューラ

スタートメニューで「タスク スケジューラ」と検索して開き、左側の「タスク スケジューラ ライブラリ」を選ぶ。メニューの「表示」で「隠れたタスクの表示」にチェックを入れてから、一覧に次の2つがないかを見る。

  • RadminComponentRuntime
  • NitroRuntime

コマンドで確かめる場合は、スタートボタンを右クリックして「ターミナル（管理者）」を開き、次の2行を1行ずつ実行する。「指定されたファイルが見つかりません」というエラーが出れば、そのタスクはない。

schtasks /query /tn RadminComponentRuntime
schtasks /query /tn NitroRuntime

2. フォルダ

エクスプローラーのアドレス欄に次の場所を入れて、フォルダがあるかを見る。

場所 見るところ
%LOCALAPPDATA%\Radmin Radminを自分で入れた覚えがないのにある場合。中にBlkScrDl.dll、config.zip、metadata.dat、csvcフォルダの中のRuntimeComponent.dllがないかを見る
C:\Windows\System32\config\systemprofile\AppData\Local\Radmin 同上。AOMEIの常駐プログラムが管理者の権限で動いていた場合は、こちらに作られる可能性がある。開くときに管理者の許可を求められる
C:\Program Files (x86)\rserver30 Radminのサーバー部分が入る場所。ManageEngineが調べたPCでは、ここに入っていた
%LOCALAPPDATA%\Nitro Pro Nitro PDFを使っていないのにある場合。使っている場合も、中にNitroPromotion.exeやEztwain4.dllがないかを見る

Radminは仕事で遠隔サポートに使われることもある正規のソフトで、フォルダがあるだけでは感染の証拠にならない。

正規のプログラムと、不正なファイルを分けて見る

この攻撃は、正規のプログラムに不正なDLLを読み込ませる仕組みなので、同じフォルダに本物と偽物が並ぶ。GTIGの報告も、悪用された正規のファイルと、攻撃者が作ったファイルを分けて載せ、両者を区別するよう書いている。

フォルダ 攻撃者が作ったファイル 悪用された正規のファイル
Radmin BlkScrDl.dll、csvc\RuntimeComponent.dll、config.zip、metadata.dat FamItrfc.exe、FamItrf2.exe、WinLpcDl.dll、WinLpcDl2.dll（Radminを作っているFamatechの本物）
Nitro Pro Eztwain4.dll、NitroPromotion.exe Nitro_Scan2PDFApp.exe、mfc140u.dll（Microsoftの部品）

FamItrfc.exeなどの正規のファイルが見つかっても、それだけで不正なものとは言えない。逆に、正規の署名が付いているから無関係だとも言えない。GTIGは、FamItrfc.exeは本物のソフトだが、BlkScrDl.dllを読み込ませるために悪用されたと書き、署名の付いた実行ファイルだからといって見逃さないよう注意している。見るべきなのは、正規のプログラムの横に署名のないDLLが置かれていないか、正規のプログラムが--runtimechkという指定で定期的に実行されていないか、だ。

ファイルに署名があるかは、ファイルを右クリックして「プロパティ」を開き、「デジタル署名」のタブがあるかで確かめられる。タブがなければ、そのファイル自体には署名が付いていない。タブがある場合は、署名者の名前も見る。BlkScrDl.dllは名前をRadminの画面を隠す部品に似せてあるが、GTIGは攻撃者が作った署名のないファイルとしている。ファイル名は攻撃者がいくらでも変えられるので、名前だけでなく、署名と置かれ方を合わせて見る。

AOMEI Backupperのインストール先のhtmlフォルダ（例：C:\Program Files (x86)\AOMEI\AOMEI Backupper\8.3.0\html\）の中に、upgrade-now.exeなどの実行ファイルがあるのもおかしい。本来はポップアップ用の画像やHTMLしか入らない場所だ。ただし、CROSSROADは自分のファイルを消すので、ここに何もなくても、入らなかった証拠にはならない。

見つからなかった場合

タスクも、Radminのフォルダもなければ、報告にある形でバックドアが残っている可能性は低い。ただ、GTIGは確認できていない改ざんもあったとみていて、送り込まれたものが報告と同じ形だったとは限らない。

7月20日の手口は、PCにファイルを残すとは限らないので、上の確認では分からない。ただ、PCが起動していたことと、その5分のあいだにAOMEIのソフトが問題の設定ファイルを取りに行ったことは別の話だ。設定ファイルを取りに行く間隔は公表されておらず、取りに行ったかを個人のPCで後から確かめる方法も、報告には示されていない。

その時間帯にAOMEI BackupperかAnyViewerが動いていた可能性があって、認証情報が送られたことが心配なら、予防のためにWindowsのパスワードを変えることを考える。同じパスワードを他のサービスでも使っているなら、そちらも変える。短いパスワードや推測されやすいパスワードほど、変える意味が大きい。

不審なタスクやフォルダが見つかったら

この段階では、まだ感染したとは決まっていない。削除や初期化を急がず、何が見つかったのかを確かめる。

1. ネットワークから外す。 Wi-Fiを切るか、LANケーブルを抜く。バックドアは攻撃者のサーバーとつながって命令を受け取るので、通信を止めれば操作もできなくなる。

2. Microsoft Defenderなどでスキャンする。 「Windows セキュリティ」の「ウイルスと脅威の防止」から、フル スキャンを実行する。同じ画面のスキャンのオプションにある「Microsoft Defender ウイルス対策（オフライン スキャン）」は、Windowsを起動しない状態で調べられる。ただ、ManageEngineが見つけた最初のプログラムは、見つけた時点でウイルス判定サイトのどのスキャンエンジンにも検出されていなかった。検出されなくても、それだけで安全とは言えない。

3. 見つかったものの中身を確かめる。 タスクスケジューラで見つかったタスクをダブルクリックし、「操作」のタブで何を実行しているかを見る。報告にあるバックドアのタスクは次のとおりで、フォルダの中身と合わせて判断する。

タスク 報告にある実行内容 一緒に見つかるもの
RadminComponentRuntime RadminフォルダのFamItrfc.exeを--runtimechkという指定を付けて、3時間ごとに実行する 同じフォルダのBlkScrDl.dll、config.zip、metadata.dat、csvc\RuntimeComponent.dll
NitroRuntime PowerShellで、TempフォルダのNitroPromotion.exeを画面を出さずに起動する Nitro ProフォルダのEztwain4.dll

自分で入れたRadminやNitro PDFのものかどうか判断がつかない場合は、IPA（情報処理推進機構）の「情報セキュリティ安心相談窓口」などに相談する。

感染が確かめられたら

報告にあるタスクと、攻撃者が作ったファイル（署名のないBlkScrDl.dllなど）の組み合わせがそろっている場合や、セキュリティソフトがこの攻撃のマルウェアとして検出した場合は、感染したものとして扱う。正規のRadminやNitro PDFのファイルが見つかっただけでは、ここには当たらない。

1. ネットワークから外したままにする。

2. 安全な別の端末から、大事なサービスのパスワードを変える。 バックドアは後から任意のプログラムを受け取って動かせるので、ブラウザに保存したパスワードやログイン状態を取られた可能性を考える。メール、Microsoftアカウント、ネット銀行、カード、ネット通販から先に、スマホなど別の端末で変える。

3. 個人のファイルを外付けドライブに逃がす。 写真や書類などのファイルをコピーする。

4. Windowsのクリーンインストールを考える。 タスクとフォルダを消すだけでは、後から送り込まれたプログラムが残っているかを確かめられない。入れ直したら、逃がしたファイルを戻す。

5. 仕事で使っているPCなら、会社のIT担当者に知らせる。 GTIGとManageEngineの報告には、通信先のIPアドレスやファイルのハッシュ値など、企業が記録と突き合わせるための情報が載っている。

システムイメージから戻すときの注意

AOMEI Backupperなどで取ったシステムイメージは、取った時点のPCをまるごと写したものだ。感染した後に取ったイメージには、バックドアのタスクやファイルも入っていて、そこから戻すとバックドアも一緒に戻る。

戻すのに使えるのは、感染する前に作られ、問題がないと確かめられるイメージだ。日付だけでは決められない。2026年4月以降のイメージが必ず感染しているわけではないし、確認されていない改ざんもありうるので、それより前のものなら必ず安全とも言えない。いつ感染したか分からない場合は、システムイメージから戻すのは慎重にして、クリーンインストールに個人のファイルを戻す方法を選ぶ。

AOMEI Backupperを使い続けていいか

10月19日時点で、この件はサーバー側の対応しか確認できない。GTIGによると、Mandiantが7月17日にAOMEIへ知らせ、AOMEIは7月29日に「是正措置をとった」と答えた。ManageEngineは、封じ込めが済んだかを自分たちでは確かめていないと書いている。AOMEIの公式サイトで、利用者向けのこの件の案内は見つからなかった。

ソフト側では、設定ファイルが本物かを確かめる仕組みが入ったという発表はない。10月9日に出たバージョン8.5.0の変更履歴は、クローンやバックアップのエラーの修正だけだ。ソフト側の仕組みが変わっていないなら、サーバーがまた書き換えられたときに、同じ経路が使われうる。

これとは別に、米国の脆弱性情報機関CERT/CCは9月10日、AOMEI Backupper 8.4.0に含まれるドライバーamwrtdrv.sysの脆弱性（CVE-2026-12780）を公表している。管理者の権限がないプログラムでもディスクに直接書き込めてしまうというもので、セキュアブートがオフのPCでは、Windowsより先に動く不正なプログラムを仕込める。CERT/CCは10月12日の改訂でも、AOMEIから回答を得られていないとしている。修正されたドライバーの入った版に更新できない場合は、アンインストールを検討するよう勧めている。8.5.0でこのドライバーが直ったかは、変更履歴には書かれていない。

ここからはこの記事の判断になる。

SSDへの引っ越しなどで一度使っただけなら、アンインストールしていい。 入れたままでも、常駐プログラムは設定ファイルを取りに行き続ける。

定期バックアップに使っているなら、乗り換えを考える。 無料で使えるものの選択肢は、以前より少ない。定番だった「Macrium Reflect Free」は配布が終わり、セキュリティ更新も2024年1月で止まっている。「Paragon Backup & Recovery Community Edition」は、個人の非商用利用ならシステムを含むバックアップと復元ができる。ただし、別のディスクへそのまま写すクローンは有料版の機能だ。SSDへの引っ越しだけなら、SamsungのSamsung MagicianのようにSSDメーカーが出しているツールもある。AOMEI Backupperの無料版も、システムディスクのクローンには対応していない。

乗り換える場合は、AOMEI Backupperで取ったバックアップから戻したいファイルがあれば、アンインストールする前に取り出しておく。

現時点で分からないこと

  • 被害の件数と、日本のPCが含まれていたか。GTIGが示したのは確認できた11か国だけで、件数は出していない
  • 確認された3回のほかに、いつ改ざんがあったか。GTIGは他にもあった可能性が高いとしている
  • どのバージョン、どのエディション、どの言語版が対象か。報告は書いていない。ManageEngineが調べたのは8.3.0
  • 常駐プログラムが設定ファイルを取りに行く間隔。改ざんの数分のあいだに当たる確率がどれくらいかは、ここで決まる
  • 自動更新を止める設定で、宣伝ポップアップの経路も止まるのか
  • AOMEIがソフト側で、設定ファイルを確かめる仕組みを入れる予定があるか。8.5.0の変更履歴には書かれていない
  • 8.5.0で、CVE-2026-12780のドライバーが直っているか

出典

一次情報

報道・解説

← 記事一覧へ