DAEMON Tools infectat amb codi maliciós (malware): què ha passat i com protegir-te

Informatec Digital » Recursos » DAEMON Tools infectat amb codi maliciós (malware): què ha passat i com protegir-te

La notícia ha saltat com un gerro d'aigua freda: les versions oficials de DAEMON Tools Lite han estat distribuint codi maliciós a milers d'ordinadors a més d'un centenar de països, a través d'un atac a la cadena de subministrament que ha agafat per sorpresa usuaris i empreses. No parlem d'una còpia pirata ni d'una web trampa, sinó d'instal·ladors descarregats directament des del lloc legítim del desenvolupador, signats digitalment i, en aparença, totalment legítims.

Aquest incident és especialment delicat perquè afecta una eina veterana i molt popular. DAEMON Tools fa més de 15 anys que és referència per muntar imatges ISO i crear unitats virtuals , amb milions d'usuaris mensuals entre particulars i organitzacions. Que un programari tan conegut hagi servit de vehicle per a una porta del darrere i un troià de robatori d'informació demostra fins a quin punt els atacs a la cadena de subministrament s'han convertit en un dels grans mals de cap de la ciberseguretat moderna.

Què ha passat exactament amb DAEMON Tools

Els investigadors de Kaspersky han destapat una campanya de gran abast en què els instal·ladors legítims de DAEMON Tools Lite van ser modificats per incloure una càrrega maliciosa. L'atac s'hauria iniciat el 8 d'abril del 2026 i, en el moment en què es van fer públics els primers informes, seguia en marxa, cosa que indica que els atacants van aconseguir passar desapercebuts durant diverses setmanes.

En aquest cas, no es van utilitzar webs falses ni còpies pirata del programa . Els arxius troianitzats estaven allotjats a la pròpia infraestructura de distribució de DAEMON Tools i estaven signats amb un certificat digital vàlid d'AVB Disc Soft, la companyia responsable del desenvolupament del programari. Per a qualsevol usuari, i per a molts sistemes de seguretat, aquests instal·ladors semblaven completament de confiança.

Segons les anàlisis publicades, es tracta d'un atac a la cadena de subministrament acuradament preparat , en què els delinqüents van aconseguir injectar codi maliciós en diversos executables inclosos a les versions compromeses del programa. Aquests binaris modificats s'executaven de manera automàtica en iniciar el sistema, establint una comunicació silenciosa amb servidors d'ordre i control sota el control dels atacants.

La campanya va provocar milers d'intents d'infecció a més de 100 països . La majoria de les víctimes van ser usuaris domèstics, però aproximadament un 10% de les instal·lacions malicioses es van detectar en sistemes pertanyents a organitzacions. Entre elles, s'han identificat objectius de sectors d'alt valor com ara administració pública, investigació científica, indústria manufacturera i comerç al detall.

L'atac no buscava només infectar «el boig» , sinó que estava orientat a la selecció d'objectius. La primera fase actuava com un filtre: recopilava dades del sistema i, segons aquesta informació, els atacants decidien si valia la pena desplegar una segona etapa molt més sofisticada, amb capacitats avançades d'espionatge i control remot.

Versions afectades i components compromesos

Els informes coincideixen a fitar el problema a un rang concret de versions de DAEMON Tools Lite. Les edicions manipulades del programari se situen entre la 12.5.0.2421 i la 12.5.0.2434, totes dues inclusivament. Qualsevol que hagi instal·lat alguna d'aquestes compilacions, especialment a partir del 8 d'abril del 2026, ha d'assumir un risc real de compromís.

Dins aquest rang, els atacants van modificar tres executables clau del programa , que s'instal·len al directori principal de DAEMON Tools i que es carreguen de manera automàtica amb el sistema o amb el mateix programari. Els binaris identificats com a maliciosos són:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Aquests executables troianitzats es comportaven com a carregadors: en iniciar-se, establien connexió amb un domini controlat pels atacants i eren capaços d'executar ordres mitjançant cmd.exe per descarregar i llançar altres peces de codi maliciós (malware). A les anàlisis tècniques s'esmenta, per exemple, l'ús d'arxius com envchk.exe , cdg.exe i cdg.tmp , que funcionaven com a components addicionals dins de la cadena d'infecció.

La telemetria recopilada per les solucions de seguretat va permetre vincular aquesta activitat amb una operació global de caràcter selectiu. Tot i que el volum d'intents d'infecció va ser elevat, la segona fase es va desplegar en un nombre molt reduït de víctimes ben escollides, cosa que reforça la idea que no era només una campanya massiva, sinó un atac dirigit contra entitats amb informació sensible o infraestructures crítiques.

Per contenir l'incident, AVB Disc Soft va llançar la versió 12.6.0.2445 de DAEMON Tools Lite , que ha estat verificada com a neta per diferents firmes de seguretat. Aquesta actualització elimina els executables manipulats i introdueix components legítims sense codi maliciós, per la qual cosa es considera actualment l'única branca segura per als que necessitin seguir utilitzant el programa.

Com funciona l'atac: de la primera a la segona fase

El comportament del codi maliciós associat a DAEMON Tools segueix un esquema típic d'atac en dues fases , molt habitual en operacions dirigides. Primer s'implanta un component lleuger de reconeixement i, només en determinats casos, es despleguen eines més complexes per prendre el control del sistema.

A la primera etapa, el codi maliciós integrat als binaris modificats s'executa de forma persistent cada vegada que s'inicia Windows. Des d'aquest moment, l'equip compromès envia una sol·licitud a un servidor d'ordres i controls usant un domini que aparenta ser legítim, com per exemple env-check.daemontools.cc, amb l'objectiu de rebre instruccions addicionals.

El primer plat de l'atac és un mòdul bàsic de recol·lecció d'informació . Aquest component extreu i envia als atacants dades com l'adreça MAC, el nom d'amfitrió, el domini DNS, la llista de processos en execució, el programari instal·lat o la configuració regional i d'idioma del sistema. Amb tot això, els ciberdelinqüents elaboren un perfil detallat de la màquina infectada.

A la majoria de les infeccions detectades, la cosa no va passar d'aquest primer nivell d'espionatge . Els sistemes van rebre únicament el recol·lector de dades, sense que s'arribessin a descarregar mòduls més potents. Tot i així, es tracta d'una intrusió greu perquè permet identificar entorns interessants per a atacs posteriors i filtrar informació potencialment sensible sobre la infraestructura de la víctima.

En un subconjunt molt reduït de casos, associat sobretot a organismes governamentals, centres de recerca i empreses industrials i de retail a països com Rússia, Bielorússia o Tailàndia, el servidor de comandament va respondre enviant una segona càrrega: una porta del darrere minimalista amb capacitats de control remot molt més avançades.

Aquesta porta del darrere de segona fase pot descarregar i executar noves càrregues útils, llançar ordres d'intèrpret d'ordres i executar codi directament en memòria sense deixar gairebé rastre en disc, cosa que complica enormement la seva detecció. A partir d'aquí, el sistema queda a la mercè dels atacants, que poden pivotar altres màquines, exfiltrar documents o desplegar eines addicionals d'espionatge.

En els casos més crítics s'ha observat el desplegament d'un implant anomenat QUIC RAT , un troià d'accés remot que suporta diversos protocols de comunicació amb el servidor d'ordre i control i que és capaç d'injectar codi maliciós en processos legítims com a notepad.exe o conhost.exe. Aquest tipus d'injecció tècnica ajuda a camuflar l'activitat maliciosa entre processos de confiança del sistema operatiu.

Magnitud de l'incident i dels països afectats

Les dades recopilades fins ara mostren un atac a gran escala, però amb un ús molt selectiu de les capacitats més perjudicials . Des de principis d'abril s'han registrat milers d'intents d'instal·lar càrregues malicioses addicionals a través dels instal·ladors compromesos de DAEMON Tools Lite.

La majoria d'equips afectats pertanyen a usuaris particulars, cosa que té lògica si es té en compte que DAEMON Tools s'ha fet servir durant anys com a eina estàndard per muntar imatges ISO i crear unitats virtuals de CD, DVD o Blu-ray. L'impacte es reparteix en aproximadament un centenar de països i territoris, amb una concentració especial de víctimes a Rússia, Brasil, Turquia, Espanya, Alemanya, França, Itàlia i la Xina.

Tot i això, els investigadors subratllen que només una dotzena de dispositius van ser seleccionats per a la segona fase de l'atac , en què es va desplegar la porta del darrere lleugera i el RAT basat en QUIC. Entre ells hi ha sistemes pertanyents a organismes públics, institucions científiques, empreses manufactureres i infraestructures de retail, cosa que encaixa més amb una operació dirigida que amb un simple atac massiu i oportunista.

Aquest patró suggereix que els atacants utilitzaven DAEMON Tools com a porta d'entrada àmplia , però que el veritable objectiu era espiar o comprometre xarxes concretes d'alt valor estratègic. La resta de víctimes servien en gran mesura com a soroll de fons i com a cobertura per amagar millor l'activitat adreçada a aquests objectius prioritaris.

Un altre detall cridaner és la presència de components del malware escrits en xinès . Alguns analistes apunten que això podria indicar un possible origen dels desenvolupadors de l'atac, encara que també és perfectament possible que es tracti d'una tàctica de distracció per desviar l'atenció cap a certs països o grups concrets i complicar-ne l'atribució.

Des del punt de vista de l'usuari mitjà, el problema més gran és que tot aquest atac s'ha recolzat en l'enorme confiança que genera un programari tan estès . Milions de persones han assumit durant anys que, si descarreguen l'instal·lador de la web oficial i té una signatura digital vàlida, no hi ha res de què preocupar-se. Aquest cas demostra que ni tan sols aquests senyals de confiança són infal·libles.

DAEMON Tools, un clàssic compromès en plena maduresa

Per entendre l'abast del problema convé recordar que DAEMON Tools no és una aplicació marginal , sinó una eina molt assentada a l'ecosistema de Windows. Des de fa dècades s'ha fet servir per muntar imatges de disc en formats com ISO, IMG, UDF, BIN o NRG, que contenen l'estructura completa de CD, DVD o fins i tot discs durs i SSD.

Durant l'època daurada dels suports òptics, DAEMON Tools es va convertir pràcticament en un estàndard de facto per als que necessitaven treballar diàriament amb imatges de disc. Encara que avui dia hi ha alternatives més lleugeres o de codi obert —com per exemple WinCDEmu a l'entorn de Windows—, el programa continua tenint una base d'usuaris enorme, tant en entorns domèstics com en empreses.

Els desenvolupadors de la utilitat indiquen que el programari manté més de tres milions d'usuaris mensuals , una xifra que explica per què una campanya d'aquest tipus pot assolir tan ràpidament milers d'equips a tot el món. Com més gran és la popularitat d'una eina, més atractiu resulta per als atacants introduir-se a la seva cadena de distribució.

En aquest context, el fet que tots els instal·ladors maliciosos estiguessin signats amb un certificat vàlid és especialment preocupant. En molts casos, tant els usuaris com les mateixes plataformes de seguretat prenen la signatura digital com un indicador d'autenticitat, assumint que el binari no ha estat manipulat. Aquí, però, els delinqüents van aconseguir colar el codi abans d'aquesta firma o reutilitzar la infraestructura de signatura legítima de la companyia.

L'incident de DAEMON Tools se suma a una llista creixent d'atacs a la cadena de subministrament de programari detectats des del començament d'any. Informes de seguretat esmenten casos similars que van afectar solucions com eScan al gener, Notepad++ al febrer o CPU-Z a l'abril, evidenciant una tendència clara: en lloc d'atacar directament cada usuari, els ciberdelinqüents prefereixen comprometre una baula central i deixar que la mateixa distribució del programari faci la resta del treball.

Riscos concrets per als usuaris i les organitzacions

Més enllà del soroll mediàtic, el que realment interessa és què pot passar en un equip on s'hagi instal·lat una versió infectada de DAEMON Tools . Els riscos varien segons fins a quin punt hagi avançat la cadena d'infecció, però fins i tot als escenaris menys greus l'impacte és rellevant.

A la fase inicial, l'impacte principal és el robatori silenciós d'informació sobre el sistema . Dades com l'adreça MAC, el nom d'amfitrió, la configuració regional o el llistat de programari instal·lat poden semblar poc crítics, però a les mans d'un atacant permeten perfilar la xarxa, identificar versions vulnerables d'altres programes i preparar atacs posteriors molt més afinats.

Si el sistema és seleccionat per a la segona fase, el perill augmenta significativament. La porta del darrere lleugera permet executar ordres remotes i descarregar arxius addicionals , cosa que obre la porta a tota una bateria d'amenaces: des del robatori de credencials i documents sensibles fins a la instal·lació de ransomware o l'ús de l'equip com a punt d'entrada per comprometre tota la xarxa corporativa.

Amb el desplegament de QUIC RAT, els atacants obtenen un accés remot pràcticament complet al dispositiu . Poden injectar codi en processos legítims, evitar part dels controls de seguretat, moure's lateralment per la xarxa i mantenir la persistència durant llargs períodes sense aixecar sospites. En mans d‟un actor amb recursos, aquest tipus d‟eina és perfecta per a campanyes d‟espionatge industrial o per obtenir accés prolongat a infraestructures crítiques.

En organitzacions amb requisits estrictes de seguretat, una intrusió mitjançant un programari tan comú com DAEMON Tools resulta especialment problemàtica. Molts entorns de treball donen per fet que les utilitats àmpliament conegudes i signades digitalment són segures per defecte, per la qual cosa la supervisió sobre el seu comportament pot ser més laxa que en el cas d'eines desconegudes o de recent aparició.

A més, aquest tipus d'incident erosiona la confiança general a la cadena de distribució de programari . Si un instal·lador oficial signat ja no és garantia suficient, les empreses es veuen obligades a reforçar els seus processos interns de validació, monitorització i resposta primerenca, cosa que implica inversions addicionals de temps i recursos.

Com saber si ets vulnerable i què fer si fas servir DAEMON Tools

Davant d'un escenari així, la primera pregunta lògica és òbvia: tinc una versió afectada instal·lada al meu equip? La comprovació bàsica passa per revisar el número de versió de DAEMON Tools Lite. Si està comprès entre la 12.5.0.2421 i la 12.5.0.2434, i es va instal·lar o actualitzar a partir del 8 d'abril del 2026, hi ha motius de sobres per entrar en mode alerta.

Per reduir riscos, els experts recomanen una sèrie de passos clars. En primer lloc, desinstal·lar immediatament qualsevol versió Lite dins del rang compromès i, si es vol seguir utilitzant l'aplicació, migrar a la versió 12.6.0.2445 o superior, que ha estat confirmada com a lliure de les modificacions malicioses detectades.

A continuació, és fonamental fer una anàlisi exhaustiva del sistema amb una solució de seguretat de confiança . Les principals suites de seguretat ja inclouen deteccions específiques per als binaris manipulats i per a les càrregues associades a aquesta campanya, per la qual cosa un escaneig complet pot ajudar a localitzar restes del codi maliciós (malware), encara que s'hagin eliminat els instal·ladors originals.

En entorns corporatius, les mesures encara han de ser més estrictes. Les organitzacions han d' aïllar els endpoints on s'hagi detectat DAEMON Tools compromès , revisar els logs a la recerca d'activitat anòmala des de principis d'abril i verificar la integritat dels executables signats presents als seus sistemes. També s'aconsella monitoritzar el trànsit de xarxa a la recerca de connexions a dominis sospitosos associats a la campanya.

Finalment, tant a nivell domèstic com professional, convé revisar amb lupa processos estranys o recentment afegits , així com qualsevol execució inusual des de carpetes temporals o directoris poc habituals. Encara que la porta del darrere i QUIC RAT intenten operar de forma sigil·losa, en molts casos deixen petits indicis que, amb una monitorització adequada, poden treure's a la llum.

El que ha passat amb DAEMON Tools demostra que ja no n'hi ha prou amb fixar-se només en la procedència de l'instal·lador . Validar firmes digitals continua sent important, però s'ha tornat imprescindible complementar aquest control amb capes addicionals de seguretat: anàlisi de comportament, llistes blanques internes, segmentació de xarxes i polítiques estrictes sobre quin programari es pot desplegar a cada entorn, incloent-hi pràctiques de virtualització segura.

Dins del panorama actual d'amenaces, l'atac a DAEMON Tools s'ha convertit en un exemple de llibre de com un programari legítim i consolidat pot ser utilitzat com a cavall de Troia per comprometre sistemes en massa i, alhora, executar operacions altament dirigides contra un petit grup de víctimes d'alt valor. Per als usuaris corrents la lliçó és clara: convé revisar qualsevol instal·lació recent del programa, actualitzar immediatament i no abaixar la guàrdia encara que el programari procedeixi, en teoria, de la font més oficial possible.