结论先行：企业习惯把备份软件当成「自己人」，可它会定期从厂商服务器上拉文件、拉配置、拉弹窗内容。这条通道一旦被短暂篡改，进到机器里的东西带着合法签名，安装的时候没有任何一道门会拦。真正要盘的不是「装没装备份」，而是三件事：谁在替这台机器拉更新、拉下来的到底是什么、拉下来之后谁验过。

三次篡改窗口，短到例行检查看不见

据多家机构在 2026 年 10 月中旬联合披露的调查，以及同期公开报道，这款备份工具的官方更新服务器在 2026 年被反复篡改过，已知的窗口有三次：

  • 5 月 28 日，持续 10 分钟（UTC 05:40 至 05:50）；
  • 7 月 16 日，持续 6 分钟（UTC 08:33 至 08:39）；
  • 7 月 20 日，持续 5 分钟（UTC 10:35 至 10:40）。

只有在这些分钟里恰好发起更新检查的客户端才会拉到被换掉的包，窗口前后检查的客户端拿到的都是正常文件。已确认受影响的机构分布在 11 个国家，集中在 IT 服务、电信与高等教育三个行业；披露方同时说明真实规模可能更大。

这就带来一个不太好接受的事实：按天、按周做的资产检查与文件扫描，对这种攻击几乎没有作用。它不是持续存在的一批坏文件，而是一段几分钟的时间窗。

问题不在「有没有校验」，而在校验和放在哪

更值得记住的是缺陷的形状。这套更新流程依赖两个文本文件：一个写明更新包的名字与校验和，另一个控制弹窗的内容与执行。程序会把拉到的包放进自己的目录里运行。

关键在于，用来验证下载的校验和，就写在那个指定更新的、没有签名的同一份文件里。能改这份文件的人，顺手也能把校验和改掉。于是整个过程不需要利用任何漏洞，也不需要用户点任何东西——软件在跑、在联网，就够了。

这条教训的适用范围远大于这一款软件。凡是「程序自己决定去哪拉、拉什么、拉下来自己验」的设计，验证环节都可能是自证的。企业侧能做的不是分辨哪家厂商写得更好，而是把这条通道当成一条需要被管理的通道。

修好了服务器，机器上的东西还在

披露方确认厂商已经修复了更新服务器。但修复只关掉了入口，不负责把已经落地的东西清掉。已确认的载荷路径大致是这样：

  • 一个下载器把组件解压到本机一个商业远程管理工具的目录下，创建一条每三小时执行一次的计划任务，然后从磁盘上删掉自己；
  • 计划任务去运行那个带合法签名的远程管理工具，由它加载同目录下被换掉的动态库，再由这个库拉起真正的植入体，提供远程命令执行与二次下载能力；
  • 7 月 20 日那次还叠了一个不用运行任何程序的手法：把通知配置改成指向远端文件的1 像素不可见弹窗，系统在渲染时会自动把当前登录用户的认证响应发出去，凭据就这样泄露了——即使后门被拦下，这一步也可能已经完成。

还有一处细节说明这批载荷是挑目标下手的：它会检查设备所在位置，检测到设备位于中国境内即停止执行；检测到安装了特定安全软件时也会终止。国内企业据此判断自己「大概没被选中」是可以理解的，但不能据此认为同类手法不会换一套围栏再来。

另有一条更值得记住的事实：据媒体在 10 月 16 日核查，厂商在 10 月 9 日发布的那一版更新日志里，并没有对这套更新校验机制做任何修改。换句话说，服务器端的整改与更新流程自身的缺陷，是两件事——前者的进度可以公告，后者的修不修只能自己去看。

备份与运维工具的权限，比它看起来大

备份软件是少数几类必须能读全盘、能改系统状态、能在无人值守的情况下长期运行的程序。它通常以较高权限运行，而通过它投递的东西会继承这份权限。行业里类似的工具还有监控采集代理、远程管理组件、批量分发与补丁管理平台——它们的共同点是：能被中心端指挥，且权限不小。

所以真正该问的问题不是「这个工具安不安全」，而是：这套工具用哪个账号跑、它装出来的东西由谁管、它自己会往外连哪些地址。

可以照着做的五件事

  1. 先把「会自己联网拉东西的软件」列成一张表：备份、远程管理、监控代理、办公套件、驱动工具。这张表通常比资产清单里的「业务系统」短得多，但它才是真正长期在自动执行的地方。
  2. 把更新来源固定下来：只允许从厂商主站或内部镜像站拉取，能关掉应用内自动更新器的就关掉，改成集中分发。
  3. 拉下来之后独立验一次：安装包做签名与哈希双验，并且用于比对的哈希值要来自与下载通道无关的渠道——同一份文件里给出的校验和，等于没有校验。
  4. 修复公告出来之后要清场：按披露的时间窗反查那段时间内有哪些机器发起过更新，再对可疑主机做重建而不是只杀进程。签名合法、路径正常、进程名眼熟，这些都构不成排除理由。
  5. 重点盯计划任务与远程管理目录：这一批载荷的落脚点就是一条计划任务加一个远程管理工具的目录。定期核对这两处的新增项，成本很低。

边界与前提

其一，本文事实来自披露方公开报告与同期媒体报道，具体受影响范围与版本以厂商及各机构后续公告为准。其二，时间窗反查能不能做成，取决于日志与更新记录的留存时长；留存不足时，结论只能是「查不到」，而不是「没发生」。其三，本文讨论的是更新通道这类机制风险，不涉及对任何具体产品的评价。其四，重建主机的成本要提前算过，否则真出事时还是会退回到「先杀进程看看」。

深圳市奇摩计算机有限公司在为客户做运维服务时，习惯把「谁会自己往外拉东西」单独列成一张表，和资产台账分开管——这张表短、更新快，但漏掉一项就可能漏掉一条没人看着的通道。需要把这套清单与清场流程梳理一遍，欢迎 预约咨询。