برنامج DAEMON Tools مصاب ببرامج ضارة: ما الذي حدث وكيفية حماية نفسك

إنفورماتيك ديجيتال » موارد » برنامج DAEMON Tools مصاب ببرامج ضارة: ما الذي حدث وكيفية حماية نفسك

جاء الخبر صادماً: فقد قامت نسخ رسمية من برنامج DAEMON Tools Lite بتوزيع برمجيات خبيثة على آلاف أجهزة الكمبيوتر في أكثر من مئة دولة عبر هجوم على سلسلة التوريد، مما فاجأ المستخدمين والشركات تماماً. لا نتحدث هنا عن نسخ مقرصنة أو مواقع احتيالية، بل عن برامج تثبيت تم تحميلها مباشرةً من الموقع الرسمي للمطور، وموقعة رقمياً، وتبدو ظاهرياً شرعية تماماً.

هذا الحادث مثير للقلق بشكل خاص لأنه يتعلق بأداة راسخة وشائعة الاستخدام. يُعد برنامج DAEMON Tools من البرامج الرائدة في مجال تحميل صور ISO وإنشاء محركات أقراص افتراضية لأكثر من 15 عامًا ، ويضم ملايين المستخدمين شهريًا من الأفراد والمؤسسات. إن استخدام هذا البرنامج المعروف كأداة لاختراق النظام وسرقة البيانات يُظهر مدى خطورة هجمات سلسلة التوريد التي أصبحت من أكبر التحديات في مجال الأمن السيبراني الحديث.

ما الذي حدث بالضبط لبرنامج DAEMON Tools؟

كشف باحثو كاسبرسكي عن حملة واسعة النطاق تم خلالها تعديل برامج تثبيت DAEMON Tools Lite الأصلية لتضمين حمولة خبيثة. وبحسب التقارير، بدأ الهجوم في 8 أبريل 2026، وكان لا يزال مستمراً عند ظهور التقارير الأولى، مما يشير إلى أن المهاجمين تمكنوا من البقاء متخفين لعدة أسابيع.

مقالة ذات صلة:

بودمان، وكي في إم، والحاويات: دليل عملي لتأمين المحاكاة الافتراضية

في هذه الحالة، لم تُستخدم أي مواقع ويب مزيفة أو نسخ مقرصنة من البرنامج . تم استضافة الملفات المُخترقة على البنية التحتية لتوزيع برنامج DAEMON Tools، وكانت مُوقّعة بشهادة رقمية صالحة من شركة AVB Disc Soft، الشركة المسؤولة عن تطوير البرنامج. بالنسبة لأي مستخدم، وللعديد من أنظمة الأمان، بدت هذه المُثبّتات موثوقة تمامًا.

بحسب التحليلات المنشورة، كان هذا هجومًا مُخططًا له بعناية على سلسلة التوريد، حيث تمكن المجرمون من حقن شيفرة خبيثة في عدة ملفات تنفيذية مُضمنة في نسخ مُخترقة من البرنامج. وقد تم تشغيل هذه الملفات المُعدلة تلقائيًا عند بدء تشغيل النظام، مما أدى إلى إنشاء اتصال صامت مع خوادم القيادة والتحكم الخاضعة لسيطرة المهاجمين.

أسفرت الحملة عن آلاف محاولات الإصابة في أكثر من 100 دولة . كان معظم الضحايا من المستخدمين المنزليين، ولكن تم رصد ما يقرب من 10% من عمليات التثبيت الخبيثة على أنظمة تابعة لمؤسسات. وشملت هذه المؤسسات قطاعات حيوية مثل الإدارة العامة والبحث العلمي والتصنيع والتجزئة.

لم يكن الهجوم مجرد عدوى عشوائية ، بل كان يستهدف أفرادًا محددين. عملت المرحلة الأولى كمرشح، حيث جمعت بيانات النظام، وبناءً على تلك المعلومات، قرر المهاجمون ما إذا كان من المجدي نشر مرحلة ثانية أكثر تطورًا مزودة بقدرات تجسس متقدمة وتحكم عن بعد.

الإصدارات المتأثرة والمكونات المخترقة

تُشير التقارير إلى أن المشكلة تقتصر على نطاق مُحدد من إصدارات برنامج DAEMON Tools Lite. وتتراوح الإصدارات المُتأثرة بين 12.5.0.2421 و12.5.0.2434. لذا، يُنصح كل من قام بتثبيت أحد هذه الإصدارات، وخاصةً بعد 8 أبريل 2026، بتوخي الحذر من خطر الاختراق.

ضمن هذا النطاق، قام المهاجمون بتعديل ثلاثة ملفات تنفيذية رئيسية لبرامج مثبتة في الدليل الرئيسي لبرنامج DAEMON Tools، ويتم تحميلها تلقائيًا مع النظام أو البرنامج نفسه. الملفات الثنائية التي تم تحديدها على أنها خبيثة هي:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

عملت هذه الملفات التنفيذية المُخترقة كبرامج تحميل: فعند بدء تشغيلها، أنشأت اتصالاً بنطاق يتحكم به المهاجمون ، وتمكنت من تنفيذ أوامر عبر موجه الأوامر (cmd.exe) لتنزيل وتشغيل برامج خبيثة أخرى. وتشير التحليلات التقنية، على سبيل المثال، إلى استخدام ملفات مثل envchk.exe و cdg.exe و cdg.tmp ، والتي عملت كمكونات إضافية ضمن سلسلة العدوى.

سمحت البيانات التي جمعتها حلول الأمن بربط هذا النشاط بعملية عالمية مُستهدفة . ورغم ارتفاع حجم محاولات الإصابة، فقد نُفذت المرحلة الثانية ضد عدد قليل جدًا من الضحايا الذين تم اختيارهم بعناية، مما عزز فكرة أن هذه لم تكن مجرد حملة واسعة النطاق، بل هجومًا مُستهدفًا ضد كيانات تمتلك معلومات حساسة أو بنية تحتية حيوية.

لاحتواء الحادث، أصدرت شركة AVB Disc Soft الإصدار 12.6.0.2445 من برنامج DAEMON Tools Lite ، والذي تم التحقق من سلامته من قبل العديد من شركات الأمن السيبراني. يزيل هذا التحديث الملفات التنفيذية المخترقة ويُضيف مكونات شرعية خالية من أي برمجيات خبيثة، مما يجعله حاليًا الإصدار الآمن الوحيد لمن يحتاجون إلى مواصلة استخدام البرنامج.

كيف يعمل الهجوم: من المرحلة الأولى إلى المرحلة الثانية

يتبع سلوك البرامج الضارة المرتبطة ببرنامج DAEMON Tools نمط هجوم نموذجي من مرحلتين ، وهو نمط شائع جدًا في العمليات المستهدفة. في المرحلة الأولى، يتم نشر مكون استطلاع خفيف الوزن، وفي حالات معينة فقط يتم نشر أدوات أكثر تعقيدًا للسيطرة على النظام.

في المرحلة الأولى، يعمل الكود الخبيث المُضمّن في الملفات الثنائية المُعدّلة باستمرار في كل مرة يبدأ فيها تشغيل نظام ويندوز. ومن تلك اللحظة، يرسل الحاسوب المُخترق طلبًا إلى خادم تحكم باستخدام نطاق يبدو شرعيًا، مثل env-check.daemontools.cc، وذلك لتلقي المزيد من التعليمات.

تتمثل الخطوة الأولى للهجوم في وحدة أساسية لجمع المعلومات . يقوم هذا المكون باستخراج بيانات مثل عنوان MAC، واسم المضيف، ونطاق DNS، وقائمة العمليات الجارية، والبرامج المثبتة، وإعدادات اللغة والمنطقة الخاصة بالنظام، وإرسالها إلى المهاجمين. وباستخدام هذه المعلومات، يُنشئ مجرمو الإنترنت ملفًا تعريفيًا مفصلاً للجهاز المصاب.

في معظم حالات الإصابة المكتشفة، لم يتجاوز الوضع هذا المستوى الأولي من التجسس . إذ لم تتلقَ الأنظمة سوى برنامج جمع البيانات، دون تحميل أي وحدات برمجية أكثر قوة. ومع ذلك، يُعدّ هذا اختراقًا خطيرًا لأنه يسمح للمهاجمين بتحديد البيئات التي تُشكّل أهدافًا جذابة لهجمات لاحقة، وتسريب معلومات حساسة محتملة حول البنية التحتية للضحية.

في مجموعة فرعية صغيرة جدًا من الحالات، والتي ترتبط في الغالب بالوكالات الحكومية ومراكز الأبحاث والشركات الصناعية والتجزئة في دول مثل روسيا وبيلاروسيا وتايلاند، استجاب خادم الأوامر بإرسال حمولة ثانية: باب خلفي بسيط يتمتع بقدرات تحكم عن بعد أكثر تقدمًا.

تستطيع هذه الثغرة الأمنية من المرحلة الثانية تنزيل وتنفيذ برامج ضارة جديدة، وتشغيل أوامر النظام، وتنفيذ التعليمات البرمجية مباشرةً في الذاكرة دون ترك أي أثر تقريبًا على القرص، مما يجعل اكتشافها في غاية الصعوبة. ومن ثم، يصبح النظام تحت رحمة المهاجمين، الذين يمكنهم الانتقال إلى أجهزة أخرى، أو استخراج المستندات، أو نشر أدوات تجسس إضافية.

في الحالات الأكثر خطورة، لوحظ استخدام برنامج خبيث يُدعى QUIC RAT . يدعم هذا البرنامج، وهو حصان طروادة للتحكم عن بُعد، بروتوكولات اتصال متنوعة مع خادم التحكم والسيطرة، وقادر على حقن شيفرة خبيثة في عمليات شرعية مثل notepad.exe أو conhost.exe. تُساعد هذه التقنية على إخفاء النشاط الخبيث بين عمليات نظام التشغيل الموثوقة.

حجم الحادث والدول المتضررة

تشير البيانات التي جُمعت حتى الآن إلى هجوم واسع النطاق، ولكن مع استخدام انتقائي للغاية لأكثر القدرات ضرراً . منذ بداية أبريل، سُجّلت آلاف المحاولات لتثبيت برامج خبيثة إضافية عبر برامج تثبيت DAEMON Tools Lite المخترقة.

معظم أجهزة الكمبيوتر المتضررة تعود لمستخدمين منزليين، وهو أمر منطقي نظرًا لأن برنامج DAEMON Tools يُستخدم منذ سنوات كأداة قياسية لتحميل صور ISO وإنشاء محركات أقراص افتراضية من نوع CD أو DVD أو Blu-ray. وقد انتشر التأثير في حوالي مئة دولة وإقليم، مع تركز عدد كبير من الضحايا في روسيا والبرازيل وتركيا وإسبانيا وألمانيا وفرنسا وإيطاليا والصين.

مع ذلك، يؤكد الباحثون أنه تم اختيار اثني عشر جهازًا فقط للمرحلة الثانية من الهجوم ، حيث تم نشر الباب الخلفي الخفيف وبرنامج التحكم عن بُعد القائم على بروتوكول QUIC. وشملت هذه الأجهزة أنظمة تابعة لهيئات حكومية ومؤسسات علمية وشركات تصنيع وبنية تحتية لقطاع التجزئة، وهو ما يتوافق مع عملية مُستهدفة أكثر من كونه هجومًا جماعيًا انتهازيًا بسيطًا.

يشير هذا النمط إلى أن المهاجمين استخدموا برنامج DAEMON Tools كنقطة دخول عامة ، لكن الهدف الحقيقي كان التجسس على شبكات محددة ذات قيمة استراتيجية عالية أو اختراقها. أما الضحايا الآخرون، فكانوا بمثابة غطاء وخلفية لإخفاء النشاط الموجه نحو تلك الأهداف ذات الأولوية.

ومن التفاصيل اللافتة الأخرى وجود مكونات برمجية خبيثة مكتوبة باللغة الصينية . ويرى بعض المحللين أن هذا قد يشير إلى مصدر محتمل لمطوري الهجوم، مع أنه من المحتمل أيضاً أن يكون ذلك تكتيكاً تضليلياً لصرف الانتباه عن دول أو جماعات محددة وتعقيد عملية تحديد الجهة المسؤولة.

من وجهة نظر المستخدم العادي، تكمن المشكلة الأكبر في أن هذا الهجوم برمته اعتمد على الثقة الهائلة التي يولدها هذا النوع من البرامج واسعة الانتشار . فقد افترض ملايين الأشخاص لسنوات أنه إذا قاموا بتنزيل برنامج التثبيت من الموقع الرسمي وكان يحمل توقيعًا رقميًا صالحًا، فلا داعي للقلق. تُظهر هذه الحالة أن حتى هذه المؤشرات على الثقة ليست مضمونة تمامًا.

أدوات DAEMON، برنامج كلاسيكي ملتزم في أوج عطائه

لفهم نطاق المشكلة، من المهم التذكير بأن برنامج DAEMON Tools ليس تطبيقًا هامشيًا ، بل هو أداة راسخة في بيئة ويندوز. فعلى مدى عقود، استُخدم لتركيب صور الأقراص بتنسيقات مثل ISO وIMG وUDF وBIN وNRG، والتي تحتوي على البنية الكاملة للأقراص المضغوطة وأقراص DVD، وحتى محركات الأقراص الصلبة ومحركات أقراص الحالة الصلبة (SSD).

خلال العصر الذهبي للوسائط الضوئية، أصبح برنامج DAEMON Tools معيارًا فعليًا لمن يحتاجون إلى العمل مع صور الأقراص بشكل يومي. ورغم وجود بدائل أخف وزنًا أو مفتوحة المصدر اليوم، مثل WinCDEmu في بيئة ويندوز، إلا أن البرنامج لا يزال يتمتع بقاعدة مستخدمين ضخمة، سواء في المنازل أو الشركات.

يشير مطورو البرنامج إلى أن لديه أكثر من ثلاثة ملايين مستخدم شهريًا ، وهو رقم يفسر سرعة وصول حملة من هذا النوع إلى آلاف أجهزة الكمبيوتر حول العالم. فكلما زادت شعبية أداة ما، زادت جاذبيتها للمهاجمين لاختراق سلسلة توزيعها.

في هذا السياق، يُعدّ توقيع جميع برامج التثبيت الخبيثة بشهادة صالحة أمرًا مثيرًا للقلق بشكل خاص. ففي كثير من الحالات، يعتمد كل من المستخدمين ومنصات الأمان على التوقيع الرقمي كمؤشر على المصداقية، بافتراض عدم التلاعب بالملف الثنائي. إلا أن المهاجمين هنا تمكنوا من إدخال برمجياتهم الخبيثة قبل الحصول على التوقيع، أو إعادة استخدام بنية التوقيع الشرعية للشركة.

تُضاف حادثة برنامج DAEMON Tools إلى قائمة متنامية من هجمات سلسلة توريد البرمجيات التي تم رصدها منذ بداية العام. وتشير التقارير الأمنية إلى حالات مماثلة أثرت على حلول مثل eScan في يناير، وNotepad++ في فبراير، وCPU-Z في أبريل، مما يُبرز اتجاهاً واضحاً: فبدلاً من استهداف المستخدمين الأفراد بشكل مباشر، يُفضل مجرمو الإنترنت اختراق حلقة مركزية وترك عملية توزيع البرمجيات نفسها تتولى الباقي.

مخاطر محددة للمستخدمين والمنظمات

بعيدًا عن الضجة الإعلامية، فإن الأهم هو ما قد يحدث على جهاز كمبيوتر مُثبّت عليه نسخة مصابة من برنامج DAEMON Tools . تختلف المخاطر باختلاف مدى انتشار العدوى، ولكن حتى في الحالات الأقل خطورة، يكون التأثير كبيرًا.

في المرحلة الأولية، يتمثل التأثير الرئيسي في السرقة الصامتة لمعلومات النظام . قد تبدو بيانات مثل عنوان MAC أو اسم المضيف أو اللغة أو قائمة البرامج المثبتة غير مهمة، ولكن في أيدي المهاجم، فإنها تسمح له بتحليل الشبكة، وتحديد الإصدارات الضعيفة من البرامج الأخرى، وإعداد هجمات لاحقة أكثر تعقيدًا.

إذا تم اختيار النظام للمرحلة الثانية، يزداد الخطر بشكل كبير. يسمح الباب الخلفي الخفيف بتنفيذ أوامر عن بُعد وتنزيل ملفات إضافية ، مما يفتح الباب أمام مجموعة واسعة من التهديدات: من سرقة بيانات الاعتماد والوثائق الحساسة إلى تثبيت برامج الفدية أو استخدام الحاسوب كنقطة دخول لاختراق شبكة الشركة بأكملها.

باستخدام برنامج QUIC RAT، يحصل المهاجمون على وصول شبه كامل عن بُعد إلى الجهاز . بإمكانهم حقن التعليمات البرمجية في العمليات المشروعة، وتجاوز بعض ضوابط الأمان، والتنقل داخل الشبكة، والحفاظ على وجودهم لفترات طويلة دون إثارة الشكوك. في أيدي جهة فاعلة ذات موارد جيدة، يُعد هذا النوع من الأدوات مثاليًا لحملات التجسس الصناعي أو للوصول المطوّل إلى البنية التحتية الحيوية.

في المؤسسات ذات المتطلبات الأمنية الصارمة، يُعدّ الاختراق عبر برامج شائعة مثل DAEMON Tools مشكلةً بالغة الخطورة. تفترض العديد من بيئات العمل أن الأدوات المساعدة المعروفة والموقعة رقميًا آمنة افتراضيًا، لذا قد يكون رصد سلوكها أقل صرامةً مقارنةً بالأدوات غير المعروفة أو التي صدرت حديثًا.

علاوة على ذلك، يُضعف هذا النوع من الحوادث الثقة العامة في سلسلة توزيع البرمجيات . فإذا لم يعد وجود مُثبِّت رسمي مُوقَّع ضمانًا كافيًا، تُضطر الشركات إلى تعزيز عمليات التحقق والمراقبة والاستجابة المبكرة الداخلية لديها، الأمر الذي يستلزم استثمارات إضافية من الوقت والموارد.

كيف تعرف ما إذا كنت عرضة للاختراق وماذا تفعل إذا كنت تستخدم برنامج DAEMON Tools

في مثل هذه الحالة، يتبادر إلى الذهن السؤال المنطقي الأول: هل لديّ نسخة متأثرة مثبتة على جهازي؟ يتضمن الفحص الأساسي مراجعة رقم إصدار برنامج DAEMON Tools Lite. إذا كان رقم الإصدار يقع بين 12.5.0.2421 و12.5.0.2434، وتم تثبيته أو تحديثه في 8 أبريل 2026 أو بعده، فهناك ما يدعو للقلق.

لتقليل المخاطر، يوصي الخبراء باتباع سلسلة من الخطوات الواضحة. أولاً، قم بإزالة أي إصدار Lite ضمن النطاق المخترق فوراً ، وإذا كنت ترغب في الاستمرار باستخدام التطبيق، فقم بالترقية إلى الإصدار 12.6.0.2445 أو أحدث، والذي تم التأكد من خلوه من التعديلات الضارة المكتشفة.

بعد ذلك، من الضروري إجراء تحليل شامل للنظام باستخدام حل أمني موثوق . تتضمن حزم الأمان الرائدة بالفعل آليات كشف محددة للملفات الثنائية والحمولات المُعدّلة المرتبطة بهذه الحملة، لذا يمكن أن يساعد الفحص الكامل في تحديد آثار البرامج الضارة، حتى في حالة إزالة برامج التثبيت الأصلية.

في بيئات الشركات، يجب أن تكون الإجراءات أكثر صرامة. يتعين على المؤسسات عزل نقاط النهاية التي تم اكتشاف اختراقها بواسطة برنامج DAEMON Tools ، ومراجعة سجلات النظام بحثًا عن أي نشاط غير طبيعي منذ بداية أبريل، والتحقق من سلامة الملفات التنفيذية الموقعة على أنظمتها. كما يُوصى بمراقبة حركة مرور الشبكة بحثًا عن أي اتصالات بنطاقات مشبوهة مرتبطة بالحملة.

أخيرًا، يُنصح في المنزل والعمل على حد سواء بفحص أي عمليات غريبة أو مُضافة حديثًا ، بالإضافة إلى أي عمليات تنفيذ غير معتادة من مجلدات مؤقتة أو أدلة غير مألوفة. فعلى الرغم من أن الأبواب الخلفية وبرامج التجسس الخبيثة (QUIC RATs) تحاول العمل بخفاء، إلا أنها في كثير من الأحيان تترك آثارًا صغيرة يمكن كشفها بالمراقبة الدقيقة.

تُظهر كارثة برنامج DAEMON Tools أن التركيز على مصدر المُثبِّت وحده لم يعد كافيًا . لا يزال التحقق من التوقيعات الرقمية مهمًا، ولكن أصبح من الضروري استكمال هذا التحكم بطبقات أمان إضافية: تحليل السلوك، وقوائم بيضاء داخلية، وتقسيم الشبكة، وسياسات صارمة بشأن البرامج التي يمكن نشرها في كل بيئة، بما في ذلك ممارسات المحاكاة الافتراضية الآمنة.

في ظلّ التهديدات الأمنية الحالية، بات الهجوم على برنامج DAEMON Tools مثالًا واضحًا على كيفية استغلال البرامج الموثوقة والراسخة كحصان طروادة لاختراق الأنظمة على نطاق واسع، وفي الوقت نفسه، تنفيذ عمليات مُستهدفة بدقة ضدّ مجموعة صغيرة من الضحايا ذوي القيمة العالية. بالنسبة للمستخدمين العاديين، الدرس واضح: يُنصح بفحص أيّ تثبيت حديث للبرنامج بدقة، وتحديثه فورًا، والبقاء متيقظًا حتى لو كان البرنامج نظريًا من أكثر المصادر الرسمية.