Bayangkan Anda memasang aplikasi backup resmi di komputer kantor, membiarkannya berjalan di latar belakang seperti biasa, dan suatu hari aplikasi itu sendiri yang mengunduh serta menjalankan program penyusup. Itulah yang terjadi pada AOMEI Backupper, software backup dan kloning disk Windows buatan AOMEI Technology. Bukan karena ada celah keamanan yang dieksploitasi, bukan karena pengguna salah klik, melainkan karena dua berkas teks di server pembaruan milik vendor sempat diubah peretas selama beberapa menit saja.

Kasus ini penting bagi pengelola TI di instansi pemerintah, desa, sekolah, dan UMKM. Server backup adalah mesin paling "dipercaya" di jaringan — ia menyimpan salinan seluruh data. Ketika rantai pembaruannya dibajak, kepercayaan itu berbalik menjadi pintu masuk.

Kronologi: tiga jendela waktu yang hanya berlangsung beberapa menit

Google Threat Intelligence Group (GTIG), Mandiant, dan Threat Analysis Lab dari ManageEngine mengungkap kampanye ini pada pekan 16 Oktober 2026. Pelakunya dilacak sebagai UNC7017, tanpa disebutkan asal negaranya.

Modusnya: penyerang mengganti isi berkas yang diunduh AOMEI Backupper saat program melakukan pengecekan pembaruan. Jendela waktunya sangat singkat, hanya lima sampai sepuluh menit per kejadian, sehingga hampir tidak terlihat oleh pemeriksaan rutin. Tiga jendela yang berhasil dikonfirmasi:

• 28 Mei 2026, pukul 05.40–05.50 UTC (10 menit)
• 16 Juli 2026, pukul 08.33–08.39 UTC (6 menit)
• 20 Juli 2026, pukul 10.35–10.40 UTC (5 menit)

Hanya komputer yang mengecek pembaruan tepat di dalam jendela tersebut yang terkena. Komputer yang mengecek sebelum atau sesudahnya menerima berkas asli yang bersih — inilah yang membuat serangan ini sangat sulit dilacak.

Tanpa celah keamanan, tanpa aksi pengguna

Yang membuat kasus ini layak jadi pelajaran adalah tidak adanya kerentanan yang dieksploitasi. Dua berkas pengendali, down_html.ini dan Notifycfg.ini, tidak diverifikasi secara kriptografis oleh AOMEI Backupper. Masalahnya, checksum yang seharusnya membuktikan keaslian paket unduhan justru berada di dalam berkas tak tertandatangan yang sama. Penyerang cukup mengubah nama paket dan checksum-nya sekaligus.

Menurut laboratorium ManageEngine, tidak ada aksi pengguna yang dibutuhkan selain memiliki program tersebut terpasang dan berjalan. Paket jahat masuk ke folder program, lalu berkas notifikasi memerintahkan program untuk menjalankannya dengan hak akses yang sama seperti proses AOMEI yang memicunya.

Apa yang tertanam di komputer korban

Laboratorium menemukan paket berisi salinan asli dan bertanda tangan sah dari Radmin, alat administrasi jarak jauh komersial. Namun Radmin ini hanya dipasang, tidak diaktifkan. Kendali jarak jauh justru datang dari implant terpisah bernama SHINYROAD.

Rantainya: sebuah scheduled task menjalankan Radmin yang sah, Radmin memuat DLL buatan penyerang di sebelahnya, dan DLL itu memuat implant SHINYROAD. Implant tersebut memberi penyerang shell jarak jauh sekaligus kemampuan mengunduh dan menjalankan kode baru. Karena SHINYROAD hanya terhubung ke satu alamat hard-coded tanpa cadangan, memblokir satu alamat itu saja sudah memutus kendali penyerang.

Satu detail lagi dari jendela 20 Juli: sekadar menampilkan pop-up dapat memaksa Windows mengirimkan respons autentikasi NetNTLMv2 milik pengguna yang sedang login ke alamat penyerang, tanpa terlihat pengguna. Artinya, komputer yang backdoor-nya sudah diblokir tetap bisa membocorkan token tersebut.

Langkah mitigasi yang bisa dilakukan sekarang

1. Blokir infrastruktur penyerang di firewall, DNS, dan proxy: domain storage-data[.]com, promotion.storage-data[.]com, aomei.storage-data[.]com; serta IP 8.210.84[.]56, 8.218.65[.]184, dan 47.239.60[.]117.
2. Tutup SMB keluar (TCP 445) dan WebDAV menuju alamat eksternal. Langkah ini memutus trik pencurian kredensial NetNTLMv2 di jendela 20 Juli.
3. Periksa scheduled task yang menunjuk ke Radmin atau folder instalasi AOMEI Backupper, terutama yang tidak pernah Anda buat sendiri.
4. Cari DLL asing di folder instalasi AOMEI Backupper dan di sebelah biner Radmin, lalu jalankan pemindaian menyeluruh dengan EDR/antivirus yang diperbarui.
5. Ganti kredensial akun administrator lokal dan akun layanan pada komputer yang terindikasi, karena token autentikasi mungkin sudah bocor.
6. Isolasi dan pasang ulang komputer yang terkonfirmasi: memperbaiki server AOMEI tidak menghapus backdoor yang sudah tertanam di mesin korban.

Pelajaran untuk pengelola TI

AOMEI melaporkan server-nya sudah diperbaiki, tetapi hingga artikel The Hacker News diperiksa pada 16 Oktober 2026, catatan perubahan Backupper versi 8.5.0 (rilis 9 Oktober) belum mencantumkan perubahan pada cara program memverifikasi pembaruan. Artinya celah kepercayaan ini belum tentu tertutup dari sisi aplikasi.

Karena itu, jangan pernah menganggap "fitur auto-update" otomatis aman. Beberapa hal yang pantas diterapkan di lingkungan instansi, sekolah, dan UMKM:

• Batasi aplikasi yang boleh menghubungi internet langsung; arahkan pembaruan lewat proxy internal yang bisa Anda audit.
• Jalankan layanan latar belakang dengan akun berhak akses minimum, bukan sebagai System atau administrator penuh.
• Terapkan segmentasi jaringan agar server backup tidak berada satu segmen terbuka dengan komputer staf.
• Simpan log DNS dan koneksi keluar minimal 30 hari, karena serangan berjendela menit hanya bisa dibongkar dari riwayat.
• Uji pemulihan data secara berkala — backup baru berguna jika benar-benar bisa di-restore.

Kejadian ini menegaskan satu hal: rantai pasok perangkat lunak adalah permukaan serangan yang nyata, dan proteksi terbaik bukan sekadar antivirus, melainkan kombinasi visibilitas jaringan, hak akses minimum, dan kebiasaan memverifikasi setiap pembaruan.

Sumber: The Hacker News — Attackers Tampered with AOMEI Backupper's Update Servers for Minutes to Deliver a Backdoor, ManageEngine Threat Analysis Lab — AOMEI Backupper Supply Chain Compromise, serta Google Threat Intelligence — Investigating Ephemeral Supply Chain Tampering.