DAEMON Tools zaražen zlonamjernim softverom: šta se dogodilo i kako se zaštititi

Informatec Digital » Resursi » DAEMON Tools zaražen zlonamjernim softverom: šta se dogodilo i kako se zaštititi

Vijest je šokirala: službene verzije DAEMON Tools Litea distribuirale su zlonamjerni softver na hiljade računara u preko stotinu zemalja putem napada u lancu snabdijevanja koji je potpuno iznenadio korisnike i kompanije. Ne govorimo o piratskim kopijama ili lažnim web stranicama, već o instalacijskim programima preuzetim direktno sa legitimne stranice programera, digitalno potpisanim i, naizgled, potpuno legitimnim.

Ovaj incident je posebno zabrinjavajući jer uključuje dugo uspostavljen i veoma popularan alat. DAEMON Tools je vodeći softver za montiranje ISO slika i kreiranje virtuelnih diskova već preko 15 godina , sa milionima mjesečnih korisnika, kako pojedinaca tako i organizacija. Činjenica da je tako poznati softver korišten kao sredstvo za backdoor i trojanca za krađu podataka pokazuje u kojoj mjeri su napadi na lanac snabdijevanja postali jedan od najvećih izazova u modernoj sajber sigurnosti.

Šta se tačno dogodilo sa DAEMON Tools-om?

Istraživači Kasperskyja otkrili su široko rasprostranjenu kampanju u kojoj su legitimni instalacijski programi DAEMON Tools Lite modificirani kako bi uključili zlonamjerni sadržaj. Napad je navodno započeo 8. aprila 2026. godine i još uvijek je trajao kada su se pojavili prvi izvještaji, što ukazuje na to da su napadači uspjeli ostati neotkriveni nekoliko sedmica.

Povezani članak:

Podman, KVM i kontejneri: praktični vodič za sigurnu virtualizaciju

U ovom slučaju, nisu korištene lažne web stranice ili piratske kopije programa . Trojanizirane datoteke su bile smještene na vlastitoj distribucijskoj infrastrukturi DAEMON Toolsa i potpisane su važećim digitalnim certifikatom od AVB Disc Softa, kompanije odgovorne za razvoj softvera. Za svakog korisnika, i za mnoge sigurnosne sisteme, ovi instaleri su djelovali potpuno pouzdano.

Prema objavljenim analizama, ovo je bio pažljivo planiran napad na lanac snabdijevanja u kojem su kriminalci uspjeli ubrizgati zlonamjerni kod u nekoliko izvršnih datoteka uključenih u kompromitovane verzije programa. Ove modificirane binarne datoteke su se automatski pokretale pri pokretanju sistema, uspostavljajući tihu komunikaciju sa komandnim i kontrolnim serverima pod kontrolom napadača.

Kampanja je rezultirala hiljadama pokušaja zaraze u preko 100 zemalja . Većina žrtava bili su kućni korisnici, ali otprilike 10% zlonamjernih instalacija otkriveno je na sistemima koji pripadaju organizacijama. To je uključivalo sektore visoke vrijednosti kao što su javna uprava, naučna istraživanja, proizvodnja i maloprodaja.

Napad nije bio samo usmjeren na neselektivnu infekciju ; bio je usmjeren na određene pojedince. Prva faza je djelovala kao filter, prikupljajući sistemske podatke, i na osnovu tih informacija, napadači su odlučivali da li se isplati primijeniti mnogo sofisticiraniju drugu fazu s naprednim mogućnostima špijunaže i daljinskog upravljanja.

Pogođene verzije i kompromitirane komponente

Izvještaji se slažu da je problem ograničen na određeni raspon verzija DAEMON Tools Lite. Pogođene verzije softvera su između 12.5.0.2421 i 12.5.0.2434, uključujući te verzije. Svako ko je instalirao jednu od ovih verzija, posebno nakon 8. aprila 2026. godine, trebao bi biti svjestan stvarnog rizika od kompromitovanja.

U tom rasponu, napadači su modificirali tri ključna izvršna fajla programa , koji su instalirani u korijenskom direktoriju DAEMON Toolsa i automatski se učitavaju sa sistemom ili samim softverom. Binarni fajlovi identifikovani kao zlonamjerni su:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Ovi trojanizirani izvršni fajlovi ponašali su se kao učitavači: prilikom pokretanja, uspostavljali su vezu s domenom koju kontroliraju napadači i mogli su izvršavati naredbe putem cmd.exe za preuzimanje i pokretanje drugih zlonamjernih programa. Tehničke analize spominju, na primjer, korištenje datoteka kao što su envchk.exe , cdg.exe i cdg.tmp , koje su funkcionirale kao dodatne komponente unutar lanca infekcije.

Telemetrija koju su prikupila sigurnosna rješenja omogućila je povezivanje ove aktivnosti s ciljanom globalnom operacijom . Iako je obim pokušaja zaraze bio velik, druga faza je primijenjena protiv vrlo malog broja pažljivo odabranih žrtava, što je pojačalo ideju da se ne radi samo o masovnoj kampanji, već o ciljanom napadu na subjekte s osjetljivim informacijama ili kritičnom infrastrukturom.

Kako bi obuzdali incident, AVB Disc Soft je izdao verziju 12.6.0.2445 programa DAEMON Tools Lite , koju su razne sigurnosne firme potvrdile kao čistu. Ovo ažuriranje uklanja kompromitovane izvršne datoteke i uvodi legitimne komponente bez zlonamjernog koda, što ga trenutno čini jedinom sigurnom verzijom za one koji trebaju nastaviti koristiti program.

Kako napad funkcioniše: od prve do druge faze

Ponašanje zlonamjernog softvera povezanog s DAEMON Toolsima slijedi tipičan dvofazni obrazac napada , vrlo uobičajen u ciljanim operacijama. Prvo se raspoređuje lagana izviđačka komponenta, a samo u određenim slučajevima se raspoređuju složeniji alati za preuzimanje kontrole nad sistemom.

U prvoj fazi, zlonamjerni kod ugrađen u modificirane binarne datoteke neprestano se izvršava svaki put kada se Windows pokrene. Od tog trenutka nadalje, kompromitovano računalo šalje zahtjev komandnom i kontrolnom serveru koristeći domenu koja izgleda legitimno, kao što je env-check.daemontools.cc, kako bi primilo daljnje upute.

"Prvi korak" napada je osnovni modul za prikupljanje informacija . Ova komponenta izdvaja i šalje napadačima podatke kao što su MAC adresa, naziv hosta, DNS domen, lista pokrenutih procesa, instalirani softver i regionalne i jezičke postavke sistema. Sa svim ovim informacijama, sajber kriminalci kreiraju detaljan profil zaraženog računara.

U većini otkrivenih infekcija, situacija nije napredovala dalje od ovog početnog nivoa špijunaže . Sistemi su primali samo sakupljač podataka, bez preuzimanja ikakvih moćnijih modula. Uprkos tome, to je ozbiljan upad jer omogućava napadačima da identifikuju okruženja koja su atraktivne mete za naknadne napade i da procure potencijalno osjetljive informacije o infrastrukturi žrtve.

U vrlo malom podskupu slučajeva, uglavnom povezanih s vladinim agencijama, istraživačkim centrima i industrijskim i maloprodajnim kompanijama u zemljama poput Rusije, Bjelorusije ili Tajlanda, komandni server je odgovorio slanjem drugog korisnog tereta: minimalističkog backdoora s mnogo naprednijim mogućnostima daljinskog upravljanja.

Ovaj backdoor druge faze može preuzeti i izvršavati nove korisne podatke, pokretati shell naredbe i izvršavati kod direktno u memoriji praktično bez traga na disku, što otkrivanje čini izuzetno teškim. Odatle je sistem prepušten na milost i nemilost napadača, koji se mogu prebaciti na druge mašine, ukrasti dokumente ili primijeniti dodatne alate za špijunažu.

U najkritičnijim slučajevima, uočeno je postavljanje implantata pod nazivom QUIC RAT . Ovaj trojanac za udaljeni pristup podržava različite komunikacijske protokole sa serverom za komande i kontrolu i sposoban je ubrizgati zlonamjerni kod u legitimne procese kao što su notepad.exe ili conhost.exe. Ova vrsta tehnike ubrizgavanja pomaže u kamuflaži zlonamjerne aktivnosti među pouzdanim procesima operativnog sistema.

Obim incidenta i pogođene zemlje

Do sada prikupljeni podaci pokazuju napad velikih razmjera, ali s vrlo selektivnom upotrebom najštetnijih mogućnosti . Od početka aprila zabilježeno je nekoliko hiljada pokušaja instaliranja dodatnih zlonamjernih programa putem kompromitovanih instalera DAEMON Tools Lite.

Većina pogođenih računara pripada kućnim korisnicima, što je logično s obzirom na to da se DAEMON Tools godinama koristi kao standardni alat za montiranje ISO slika i kreiranje virtuelnih CD, DVD ili Blu-ray pogona. Utjecaj se proširio na otprilike stotinu zemalja i teritorija, s posebno visokom koncentracijom žrtava u Rusiji, Brazilu, Turskoj, Španiji, Njemačkoj, Francuskoj, Italiji i Kini.

Međutim, istraživači naglašavaju da je za drugu fazu napada , u kojoj su korišteni lagani backdoor i RAT zasnovan na QUIC-u, odabrano samo desetak uređaja. To je uključivalo sisteme koji pripadaju vladinim agencijama, naučnim institucijama, proizvodnim kompanijama i maloprodajnoj infrastrukturi, što je više u skladu s ciljanom operacijom nego s jednostavnim, oportunističkim, masovnim napadom.

Ovaj obrazac ukazuje na to da su napadači koristili DAEMON Tools kao široku ulaznu tačku , ali da je pravi cilj bio špijuniranje ili kompromitovanje određenih mreža od visoke strateške vrijednosti. Preostale žrtve su uglavnom služile kao pozadinska buka i maska ​​kako bi bolje prikrile aktivnosti usmjerene na te prioritetne ciljeve.

Još jedan upečatljiv detalj je prisustvo komponenti zlonamjernog softvera napisanih na kineskom jeziku . Neki analitičari smatraju da bi ovo moglo ukazivati ​​na moguće porijeklo programera napada, iako je također sasvim moguće da se radi o taktici odvraćanja pažnje kako bi se pažnja skrenula na određene zemlje ili grupe i zakompliciralo pripisivanje.

Iz perspektive prosječnog korisnika, najveći problem je što se cijeli ovaj napad oslanjao na ogromno povjerenje koje je generirao tako široko rasprostranjeni softver . Milioni ljudi godinama pretpostavljaju da ako preuzmu instalacijski program sa službene web stranice i ako on ima važeći digitalni potpis, nemaju razloga za brigu. Ovaj slučaj pokazuje da čak ni ovi znaci povjerenja nisu nepogrešivi.

DAEMON Tools, predani klasik u svom najboljem izdanju

Da bismo razumjeli obim problema, važno je zapamtiti da DAEMON Tools nije sporedna aplikacija , već dobro uspostavljen alat u Windows ekosistemu. Decenijama se koristi za montiranje slika diskova u formatima kao što su ISO, IMG, UDF, BIN i NRG, koji sadrže kompletnu strukturu CD-ova, DVD-ova, pa čak i tvrdih diskova i SSD-ova.

Tokom zlatnog doba optičkih medija, DAEMON Tools je postao praktično de facto standard za one koji su svakodnevno morali raditi sa slikama diskova. Iako danas postoje lakše ili alternative otvorenog koda - poput WinCDEmu u Windows okruženju - program i dalje ima ogromnu bazu korisnika, kako u kućnim tako i u poslovnim okruženjima.

Programeri ovog alata navode da softver održava više od tri miliona mjesečnih korisnika , što objašnjava zašto kampanja ovog tipa može tako brzo dosegnuti hiljade računara širom svijeta. Što je alat popularniji, to je napadačima privlačnije da se infiltriraju u njegov distributivni lanac.

U ovom kontekstu, činjenica da su svi zlonamjerni instaleri bili potpisani važećim certifikatom je posebno zabrinjavajuća. U mnogim slučajevima, i korisnici i same sigurnosne platforme uzimaju digitalni potpis kao pokazatelj autentičnosti, pretpostavljajući da binarna datoteka nije mijenjana. Međutim, ovdje su napadači uspjeli ubaciti svoj kod prije nego što je potpis dobijen ili ponovo upotrijebiti legitimnu infrastrukturu za potpisivanje kompanije.

Incident sa DAEMON Tools-om dodaje se na rastuću listu napada na lanac snabdijevanja softverom otkrivenih od početka godine. Izvještaji o sigurnosti spominju slične slučajeve koji su utjecali na rješenja poput eScan-a u januaru, Notepad++-a u februaru i CPU-Z-a u aprilu, ističući jasan trend: umjesto direktnog ciljanja pojedinačnih korisnika, sajber kriminalci radije kompromituju centralnu vezu i puštaju da sama distribucija softvera uradi ostalo.

Specifični rizici za korisnike i organizacije

Pored medijske pompe, ono što je zaista važno jeste šta se može dogoditi na računaru na kojem je instalirana zaražena verzija DAEMON Toolsa . Rizici variraju u zavisnosti od toga koliko je daleko napredovao lanac infekcije, ali čak i u manje ozbiljnim scenarijima, uticaj je značajan.

U početnoj fazi, glavni uticaj je tiha krađa sistemskih informacija . Podaci poput MAC adrese, imena hosta, lokalizacije ili liste instaliranog softvera mogu izgledati beznačajno, ali u rukama napadača, oni mu omogućavaju da profiliše mrežu, identifikuje ranjive verzije drugih programa i pripremi mnogo sofisticiranije naknadne napade.

Ako se sistem odabere za drugu fazu, opasnost se značajno povećava. Lagani backdoor omogućava izvršavanje udaljenih naredbi i preuzimanje dodatnih datoteka , otvarajući vrata cijelom nizu prijetnji: od krađe akreditiva i osjetljivih dokumenata do instaliranja ransomware-a ili korištenja računara kao ulazne tačke za kompromitovanje cijele korporativne mreže.

Primjenom QUIC RAT-a, napadači dobijaju praktično potpuni udaljeni pristup uređaju . Mogu ubrizgati kod u legitimne procese, zaobići neke sigurnosne kontrole, kretati se horizontalno po mreži i održavati postojanost uređaja duži period bez izazivanja sumnje. U rukama dobro opremljenog aktera, ova vrsta alata je savršena za kampanje industrijske špijunaže ili za dobijanje produženog pristupa kritičnoj infrastrukturi.

U organizacijama sa strogim sigurnosnim zahtjevima, upad putem uobičajenog softvera poput DAEMON Toolsa je posebno problematičan. Mnoga radna okruženja pretpostavljaju da su široko poznati, digitalno potpisani uslužni programi sigurni po defaultu, tako da praćenje njihovog ponašanja može biti manje precizno nego kod nepoznatih ili nedavno objavljenih alata.

Nadalje, ova vrsta incidenta narušava ukupno povjerenje u lanac distribucije softvera . Ako potpisani službeni instalacijski program više nije dovoljna garancija, kompanije su prisiljene ojačati svoje interne procese validacije, praćenja i ranog odgovora, što podrazumijeva dodatna ulaganja vremena i resursa.

Kako znati da li ste ranjivi i šta učiniti ako koristite DAEMON Tools

U takvom scenariju, prvo logično pitanje je očigledno: Da li imam pogođenu verziju instaliranu na svom računaru? Osnovna provjera uključuje pregled broja verzije DAEMON Tools Lite. Ako se nalazi između 12.5.0.2421 i 12.5.0.2434, i ako je instaliran ili ažuriran 8. aprila 2026. ili kasnije, postoji mnogo razloga za zabrinutost.

Kako bi se smanjili rizici, stručnjaci preporučuju niz jasnih koraka. Prvo, odmah deinstalirajte bilo koju Lite verziju unutar kompromitovanog raspona i, ako želite nastaviti koristiti aplikaciju, pređite na verziju 12.6.0.2445 ili noviju, za koju je potvrđeno da ne sadrži otkrivene zlonamjerne modifikacije.

Zatim je neophodno izvršiti temeljitu analizu sistema koristeći pouzdano sigurnosno rješenje . Vodeći sigurnosni paketi već uključuju specifične detekcije za manipulirane binarne datoteke i korisne podatke povezane s ovom kampanjom, tako da potpuno skeniranje može pomoći u lociranju tragova zlonamjernog softvera, čak i ako su originalni instalacijski programi uklonjeni.

U korporativnim okruženjima, mjere moraju biti još strože. Organizacije moraju izolovati krajnje tačke na kojima je DAEMON Tools otkriven kao kompromitovan , pregledati logove za anomalne aktivnosti od početka aprila i provjeriti integritet potpisanih izvršnih datoteka na svojim sistemima. Također se preporučuje praćenje mrežnog saobraćaja za veze sa sumnjivim domenima povezanim sa kampanjom.

Konačno, i kod kuće i na poslu, preporučljivo je pažljivo ispitati sve čudne ili nedavno dodane procese , kao i svako neobično izvršavanje iz privremenih foldera ili neuobičajenih direktorija. Iako backdoor-ovi i QUIC RAT-ovi pokušavaju djelovati prikriveno, u mnogim slučajevima ostavljaju male tragove koji se, uz pravilno praćenje, mogu otkriti.

Debakl DAEMON Toolsa pokazuje da puko fokusiranje na porijeklo instalatora više nije dovoljno . Validacija digitalnih potpisa ostaje važna, ali je postalo neophodno dopuniti ovu kontrolu dodatnim slojevima sigurnosti: analizom ponašanja, internim bijelim listama, segmentacijom mreže i strogim politikama o tome koji se softver može implementirati u svakom okruženju, uključujući prakse sigurne virtualizacije.

U okviru trenutnog okruženja prijetnji, napad na DAEMON Tools postao je školski primjer kako se legitiman, dobro uspostavljen softver može koristiti kao trojanski konj za masovno kompromitovanje sistema i, istovremeno, izvršavanje visoko ciljanih operacija protiv male grupe visoko vrijednih žrtava. Za svakodnevne korisnike, lekcija je jasna: preporučljivo je temeljito provjeriti svaku nedavnu instalaciju programa, odmah ga ažurirati i ostati oprezan čak i ako softver teoretski dolazi iz najzvaničnijeg mogućeg izvora.