DAEMON Tools mit Malware infiziert: Was ist passiert und wie können Sie sich schützen?

Digitale Nachrichten » Ressourcen » DAEMON Tools mit Malware infiziert: Was ist passiert und wie können Sie sich schützen

Die Nachricht hat uns schockiert: Offizielle Versionen von DAEMON Tools Lite haben über einen Lieferkettenangriff, der Nutzer und Unternehmen völlig unvorbereitet traf, Schadsoftware auf Tausende von Computern in über hundert Ländern verbreitet . Es handelt sich nicht um Raubkopien oder betrügerische Websites, sondern um Installationsdateien, die direkt von der offiziellen Website des Entwicklers heruntergeladen wurden, digital signiert und scheinbar völlig legitim sind.

Dieser Vorfall ist besonders besorgniserregend, da er ein seit Langem etabliertes und weit verbreitetes Tool betrifft. DAEMON Tools ist seit über 15 Jahren eine führende Software zum Mounten von ISO-Images und Erstellen virtueller Laufwerke und verzeichnet monatlich Millionen von Nutzern aus dem privaten und geschäftlichen Bereich. Die Tatsache, dass solch bekannte Software als Einfallstor für eine Hintertür und einen datenstehlenden Trojaner missbraucht wurde, verdeutlicht, wie sehr Lieferkettenangriffe zu einer der größten Herausforderungen der modernen Cybersicherheit geworden sind.

Was genau ist mit DAEMON Tools passiert?

Kaspersky-Forscher haben eine groß angelegte Kampagne aufgedeckt, bei der legitime Installationsprogramme von DAEMON Tools Lite so verändert wurden, dass sie Schadsoftware enthielten. Der Angriff begann Berichten zufolge am 8. April 2026 und war zum Zeitpunkt der ersten Meldungen noch im Gange, was darauf hindeutet, dass die Angreifer mehrere Wochen lang unentdeckt blieben.

In Verbindung stehender Artikel:

Podman, KVM und Container: Ein praktischer Leitfaden für sichere Virtualisierung

In diesem Fall wurden weder gefälschte Websites noch Raubkopien des Programms verwendet . Die mit einem Trojaner infizierten Dateien wurden auf der eigenen Vertriebsinfrastruktur von DAEMON Tools gehostet und waren mit einem gültigen digitalen Zertifikat von AVB Disc Soft, dem Entwickler der Software, signiert. Für jeden Benutzer und viele Sicherheitssysteme erschienen diese Installationsprogramme daher völlig vertrauenswürdig.

Laut veröffentlichten Analysen handelte es sich um einen sorgfältig geplanten Lieferkettenangriff, bei dem es den Kriminellen gelang, Schadcode in mehrere ausführbare Dateien kompromittierter Programmversionen einzuschleusen. Diese veränderten Binärdateien wurden beim Systemstart automatisch ausgeführt und stellten eine unbemerkte Verbindung zu den von den Angreifern kontrollierten Command-and-Control-Servern her.

Die Kampagne führte zu Tausenden von Infektionsversuchen in über 100 Ländern . Die meisten Opfer waren Privatanwender, doch etwa 10 % der Schadsoftware-Installationen wurden auf Systemen von Organisationen festgestellt. Dazu gehörten auch Branchen mit hohem Sicherheitsbedarf wie die öffentliche Verwaltung, die wissenschaftliche Forschung, die Fertigungsindustrie und der Einzelhandel.

Der Angriff beschränkte sich nicht auf wahlloses Infizieren , sondern zielte gezielt auf bestimmte Personen ab. Die erste Phase diente als Filter, sammelte Systemdaten und entschied anhand dieser Informationen, ob sich der Einsatz einer deutlich komplexeren zweiten Phase mit ausgefeilten Spionage- und Fernsteuerungsfunktionen lohnte.

Betroffene Versionen und kompromittierte Komponenten

Berichten zufolge betrifft das Problem nur bestimmte Versionen von DAEMON Tools Lite. Betroffen sind die Versionen 12.5.0.2421 bis einschließlich 12.5.0.2434. Jeder, der eine dieser Versionen installiert hat, insbesondere nach dem 8. April 2026, sollte sich des erhöhten Risikos einer Sicherheitslücke bewusst sein.

Innerhalb dieses Bereichs modifizierten die Angreifer drei wichtige Programmdateien , die im Stammverzeichnis von DAEMON Tools installiert und automatisch mit dem System oder der Software selbst geladen werden. Die als schädlich identifizierten Binärdateien sind:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Diese mit Trojanern infizierten ausführbaren Dateien fungierten als Loader: Nach dem Start stellten sie eine Verbindung zu einer von den Angreifern kontrollierten Domäne her und konnten über cmd.exe Befehle ausführen, um weitere Schadsoftware herunterzuladen und zu starten. Technische Analysen erwähnen beispielsweise die Verwendung von Dateien wie envchk.exe , cdg.exe und cdg.tmp , die als zusätzliche Komponenten innerhalb der Infektionskette dienten.

Die von Sicherheitslösungen erfassten Telemetriedaten ermöglichten es, diese Aktivität mit einer gezielten globalen Operation in Verbindung zu bringen . Obwohl die Anzahl der Infektionsversuche hoch war, richtete sich die zweite Phase gegen eine sehr kleine Anzahl sorgfältig ausgewählter Opfer, was die Annahme bestärkt, dass es sich nicht um eine Massenkampagne, sondern um einen gezielten Angriff auf Organisationen mit sensiblen Informationen oder kritischer Infrastruktur handelte.

Um den Vorfall einzudämmen, veröffentlichte AVB Disc Soft die Version 12.6.0.2445 von DAEMON Tools Lite , die von verschiedenen Sicherheitsfirmen als virenfrei bestätigt wurde. Dieses Update entfernt die manipulierten ausführbaren Dateien und fügt legitime Komponenten ohne Schadcode hinzu. Damit ist es derzeit die einzige sichere Version für alle, die das Programm weiterhin verwenden müssen.

So funktioniert der Angriff: von der ersten zur zweiten Phase

Das Verhalten von Malware, die mit DAEMON Tools in Verbindung steht, folgt einem typischen zweiphasigen Angriffsmuster , das bei gezielten Operationen sehr häufig vorkommt. Zunächst wird eine einfache Aufklärungskomponente eingesetzt, und erst in bestimmten Fällen werden komplexere Tools zur Systemübernahme verwendet.

Im ersten Schritt wird der in den modifizierten Binärdateien eingebettete Schadcode bei jedem Windows-Start permanent ausgeführt. Anschließend sendet der kompromittierte Computer eine Anfrage an einen Command-and-Control-Server über eine scheinbar legitime Domain, beispielsweise env-check.daemontools.cc, um weitere Anweisungen zu erhalten.

Der erste Schritt des Angriffs ist ein einfaches Informationserfassungsmodul . Diese Komponente extrahiert und sendet Daten wie MAC-Adresse, Hostname, DNS-Domäne, Liste der laufenden Prozesse, installierte Software sowie Systemeinstellungen (Region und Sprache) an die Angreifer. Mithilfe all dieser Informationen erstellen Cyberkriminelle ein detailliertes Profil des infizierten Rechners.

Bei den meisten erkannten Infektionen ging die Situation nicht über diese anfängliche Spionagestufe hinaus . Die Systeme erhielten lediglich den Datensammler, ohne dass weitere, leistungsfähigere Module heruntergeladen wurden. Dennoch stellt dies einen schwerwiegenden Eingriff dar, da Angreifer so Umgebungen identifizieren können, die attraktive Ziele für nachfolgende Angriffe darstellen, und potenziell sensible Informationen über die Infrastruktur des Opfers ausspionieren können.

In einem sehr kleinen Teil der Fälle, die hauptsächlich mit Regierungsbehörden, Forschungszentren sowie Industrie- und Einzelhandelsunternehmen in Ländern wie Russland, Belarus oder Thailand in Verbindung stehen, antwortete der Befehlsserver mit dem Senden einer zweiten Nutzlast: einer minimalistischen Hintertür mit wesentlich fortschrittlicheren Fernsteuerungsfunktionen.

Diese zweite Stufe der Hintertür kann neue Schadsoftware herunterladen und ausführen, Shell-Befehle starten und Code direkt im Arbeitsspeicher ausführen, praktisch ohne Spuren auf der Festplatte zu hinterlassen, was die Erkennung extrem erschwert. Ab diesem Zeitpunkt ist das System den Angreifern schutzlos ausgeliefert, die auf andere Rechner ausweichen, Dokumente exfiltrieren oder zusätzliche Spionagewerkzeuge einsetzen können.

In besonders kritischen Fällen wurde der Einsatz eines Implantats namens QUIC RAT beobachtet . Dieser Remote-Access-Trojaner unterstützt verschiedene Kommunikationsprotokolle mit dem Command-and-Control-Server und kann Schadcode in legitime Prozesse wie notepad.exe oder conhost.exe einschleusen. Diese Einschleusungstechnik trägt dazu bei, schädliche Aktivitäten innerhalb vertrauenswürdiger Betriebssystemprozesse zu tarnen.

Ausmaß des Vorfalls und betroffene Länder

Die bisher gesammelten Daten deuten auf einen groß angelegten Angriff hin, bei dem jedoch die schädlichsten Funktionen sehr gezielt eingesetzt wurden . Seit Anfang April wurden mehrere tausend Versuche registriert, über kompromittierte DAEMON Tools Lite-Installationsprogramme weitere Schadsoftware zu installieren.

Die meisten betroffenen Computer gehören Privatanwendern, was angesichts der jahrelangen Verwendung von DAEMON Tools als Standardwerkzeug zum Einbinden von ISO-Images und Erstellen virtueller CD-, DVD- oder Blu-ray-Laufwerke nachvollziehbar ist. Die Auswirkungen erstrecken sich über rund einhundert Länder und Gebiete, wobei Russland, Brasilien, die Türkei, Spanien, Deutschland, Frankreich, Italien und China besonders stark betroffen sind.

Die Forscher betonen jedoch, dass für die zweite Phase des Angriffs , in der die schlanke Backdoor und der QUIC-basierte RAT eingesetzt wurden, lediglich ein Dutzend Geräte ausgewählt wurden. Darunter befanden sich Systeme von Regierungsbehörden, wissenschaftlichen Einrichtungen, Produktionsunternehmen und dem Einzelhandel, was eher auf eine gezielte Operation als auf einen einfachen, opportunistischen Massenangriff hindeutet.

Dieses Muster deutet darauf hin, dass die Angreifer DAEMON Tools als allgemeinen Einstiegspunkt nutzten , ihr eigentliches Ziel jedoch darin bestand, bestimmte Netzwerke von hohem strategischem Wert auszuspionieren oder zu kompromittieren. Die übrigen Opfer dienten größtenteils als Hintergrundrauschen und Tarnung, um die gegen diese Prioritätsziele gerichteten Aktivitäten besser zu verschleiern.

Ein weiteres auffälliges Detail ist das Vorhandensein von Malware-Komponenten in chinesischer Sprache . Einige Analysten vermuten, dass dies auf einen möglichen Ursprung der Entwickler des Angriffs hindeuten könnte, obwohl es auch durchaus möglich ist, dass es sich um eine Ablenkungstaktik handelt, um die Aufmerksamkeit auf bestimmte Länder oder Gruppen zu lenken und die Zuordnung zu erschweren.

Aus Sicht des Durchschnittsnutzers liegt das größte Problem darin, dass dieser gesamte Angriff auf dem enormen Vertrauen beruhte, das solch weit verbreitete Software erzeugt . Millionen von Menschen gingen jahrelang davon aus, dass sie sich keine Sorgen machen müssten, solange sie das Installationsprogramm von der offiziellen Website herunterluden und es über eine gültige digitale Signatur verfügte. Dieser Fall zeigt jedoch, dass selbst diese Vertrauenszeichen nicht unfehlbar sind.

DAEMON Tools, ein echter Klassiker in seiner Blütezeit

Um das Ausmaß des Problems zu verstehen, ist es wichtig zu wissen, dass DAEMON Tools keine Nischenanwendung , sondern ein etabliertes Werkzeug im Windows-Ökosystem ist. Seit Jahrzehnten wird es verwendet, um Datenträgerabbilder in Formaten wie ISO, IMG, UDF, BIN und NRG einzubinden, die die vollständige Struktur von CDs, DVDs und sogar Festplatten und SSDs enthalten.

Im goldenen Zeitalter optischer Speichermedien etablierte sich DAEMON Tools praktisch als Standard für alle, die täglich mit Disk-Images arbeiteten. Obwohl es heute schlankere oder Open-Source-Alternativen gibt – wie beispielsweise WinCDEmu unter Windows –, erfreut sich das Programm nach wie vor großer Beliebtheit im privaten und geschäftlichen Bereich.

Die Entwickler des Tools geben an, dass die Software monatlich über drei Millionen Nutzer hat – eine Zahl, die erklärt, warum eine Kampagne dieser Art so schnell Tausende von Computern weltweit erreichen kann. Je beliebter ein Tool ist, desto attraktiver ist es für Angreifer, in seine Vertriebskette einzudringen.

In diesem Zusammenhang ist besonders besorgniserregend, dass alle schädlichen Installationsprogramme mit einem gültigen Zertifikat signiert waren . Oftmals betrachten sowohl Nutzer als auch Sicherheitsplattformen die digitale Signatur als Authentizitätsnachweis und gehen davon aus, dass die Binärdatei nicht manipuliert wurde. Hier gelang es den Angreifern jedoch, ihren Code einzuschleusen, bevor die Signatur erlangt werden konnte, oder die legitime Signaturinfrastruktur des Unternehmens zu missbrauchen.

Der DAEMON-Tools-Vorfall reiht sich in eine wachsende Liste von Angriffen auf Software-Lieferketten ein , die seit Jahresbeginn entdeckt wurden. Sicherheitsberichte erwähnen ähnliche Fälle, die Lösungen wie eScan im Januar, Notepad++ im Februar und CPU-Z im April betrafen und einen klaren Trend verdeutlichen: Anstatt einzelne Nutzer direkt anzugreifen, bevorzugen Cyberkriminelle es, ein zentrales Glied zu kompromittieren und den Rest dem Softwarevertrieb zu überlassen.

Spezifische Risiken für Nutzer und Organisationen

Abgesehen vom Medienrummel ist entscheidend, was auf einem Computer passieren kann, auf dem eine infizierte Version von DAEMON Tools installiert ist . Die Risiken variieren je nachdem, wie weit die Infektionskette fortgeschritten ist, aber selbst in weniger schwerwiegenden Fällen sind die Auswirkungen erheblich.

In der Anfangsphase besteht die Hauptauswirkung im unbemerkten Diebstahl von Systeminformationen . Daten wie MAC-Adresse, Hostname, Gebietsschema oder die Liste der installierten Software mögen unbedeutend erscheinen, ermöglichen es Angreifern jedoch, das Netzwerk zu analysieren, anfällige Versionen anderer Programme zu identifizieren und deutlich komplexere Folgeangriffe vorzubereiten.

Wird das System für die zweite Phase ausgewählt, steigt die Gefahr deutlich. Die leichtgewichtige Hintertür ermöglicht die Ausführung von Fernbefehlen und das Herunterladen zusätzlicher Dateien und öffnet damit Tür und Tor für eine Vielzahl von Bedrohungen: vom Diebstahl von Zugangsdaten und sensiblen Dokumenten über die Installation von Ransomware bis hin zur Nutzung des Computers als Einfallstor zur Kompromittierung des gesamten Unternehmensnetzwerks.

Durch den Einsatz von QUIC RAT erlangen Angreifer nahezu vollständigen Fernzugriff auf das Gerät . Sie können Schadcode in legitime Prozesse einschleusen, Sicherheitsvorkehrungen umgehen, sich lateral im Netzwerk bewegen und über längere Zeiträume unentdeckt bleiben. In den Händen eines gut ausgestatteten Akteurs eignet sich dieses Werkzeug ideal für Industriespionage oder den dauerhaften Zugriff auf kritische Infrastrukturen.

In Organisationen mit strengen Sicherheitsanforderungen stellt ein Eindringen über gängige Software wie DAEMON Tools ein besonders großes Problem dar. Viele Arbeitsumgebungen gehen davon aus, dass weit verbreitete, digital signierte Programme standardmäßig sicher sind, weshalb deren Verhalten oft weniger streng überwacht wird als das unbekannter oder kürzlich veröffentlichter Tools.

Darüber hinaus untergräbt diese Art von Vorfall das allgemeine Vertrauen in die Softwarevertriebskette . Wenn ein signiertes offizielles Installationsprogramm keine ausreichende Garantie mehr darstellt, sind Unternehmen gezwungen, ihre internen Validierungs-, Überwachungs- und Frühwarnprozesse zu verstärken, was zusätzliche Investitionen an Zeit und Ressourcen erfordert.

Wie Sie erkennen, ob Sie angreifbar sind, und was Sie tun sollten, wenn Sie DAEMON Tools verwenden

In einem solchen Fall liegt die erste Frage auf der Hand: Ist eine betroffene Version auf meinem Computer installiert? Die grundlegende Überprüfung besteht darin, die Versionsnummer von DAEMON Tools Lite zu prüfen. Liegt diese zwischen 12.5.0.2421 und 12.5.0.2434 und wurde die Software am oder nach dem 8. April 2026 installiert oder aktualisiert, besteht Anlass zur Sorge.

Um die Risiken zu minimieren, empfehlen Experten eine Reihe klarer Schritte. Deinstallieren Sie zunächst umgehend alle betroffenen Lite-Versionen. Wenn Sie die Anwendung weiterhin nutzen möchten, aktualisieren Sie auf Version 12.6.0.2445 oder höher, da diese nachweislich frei von den erkannten Schadprogrammen ist.

Anschließend ist eine gründliche Systemanalyse mit einer vertrauenswürdigen Sicherheitslösung unerlässlich . Führende Sicherheitslösungen verfügen bereits über spezifische Erkennungsfunktionen für die manipulierten Binärdateien und Payloads dieser Kampagne. Ein vollständiger Scan kann daher helfen, Spuren der Malware aufzuspüren, selbst wenn die ursprünglichen Installationsprogramme entfernt wurden.

In Unternehmensumgebungen müssen die Maßnahmen noch strenger sein. Organisationen müssen Endpunkte isolieren, auf denen DAEMON Tools als kompromittiert erkannt wurde , Protokolle seit Anfang April auf ungewöhnliche Aktivitäten überprüfen und die Integrität signierter ausführbarer Dateien auf ihren Systemen sicherstellen. Es wird außerdem empfohlen, den Netzwerkverkehr auf Verbindungen zu verdächtigen Domains im Zusammenhang mit der Kampagne zu überwachen.

Abschließend ist es ratsam, sowohl zu Hause als auch am Arbeitsplatz alle ungewöhnlichen oder kürzlich hinzugefügten Prozesse sowie alle ungewöhnlichen Ausführungen aus temporären Ordnern oder ungewöhnlichen Verzeichnissen sorgfältig zu prüfen. Obwohl Backdoors und QUIC-RATs versuchen, unbemerkt zu agieren, hinterlassen sie in vielen Fällen kleine Hinweise, die sich bei sorgfältiger Überwachung aufspüren lassen.

Das Debakel um DAEMON Tools zeigt, dass die alleinige Fokussierung auf die Herkunft des Installationsprogramms nicht mehr ausreicht . Die Validierung digitaler Signaturen bleibt wichtig, doch ist es unerlässlich geworden, diese Kontrolle durch zusätzliche Sicherheitsebenen zu ergänzen: Verhaltensanalyse, interne Whitelists, Netzwerksegmentierung und strenge Richtlinien für die in den jeweiligen Umgebungen einsetzbare Software, einschließlich sicherer Virtualisierungsverfahren.

Im aktuellen Bedrohungsumfeld ist der Angriff auf DAEMON Tools zu einem Paradebeispiel dafür geworden, wie legitime, etablierte Software als Trojaner missbraucht werden kann, um Systeme massenhaft zu kompromittieren und gleichzeitig gezielte Angriffe gegen eine kleine Gruppe hochkarätiger Opfer durchzuführen. Für normale Nutzer ist die Lehre klar: Es empfiehlt sich, jede kürzlich installierte Software gründlich zu prüfen, umgehend zu aktualisieren und wachsam zu bleiben, selbst wenn die Software theoretisch aus einer absolut offiziellen Quelle stammt.