DAEMON Tools zaražen zlonamjernim softverom: što se dogodilo i kako se zaštititi

Informatec Digital » Sredstva » DAEMON Tools zaražen zlonamjernim softverom: što se dogodilo i kako se zaštititi

Vijest je šokirala: službene verzije DAEMON Tools Litea distribuirale su zlonamjerni softver na tisuće računala u više od stotinu zemalja putem napada u lancu opskrbe koji je potpuno iznenadio korisnike i tvrtke. Ne govorimo o piratskim kopijama ili lažnim web stranicama, već o instalacijskim programima preuzetim izravno s legitimne stranice programera, digitalno potpisanim i, naizgled, potpuno legitimnim.

Ovaj incident je posebno zabrinjavajući jer uključuje dugo etabliran i vrlo popularan alat. DAEMON Tools je vodeći softver za montiranje ISO slika i stvaranje virtualnih pogona već više od 15 godina , s milijunima mjesečnih korisnika, kako pojedinaca tako i organizacija. Činjenica da se tako poznati softver koristi kao sredstvo za backdoor i trojanca za krađu podataka pokazuje u kojoj su mjeri napadi na lanac opskrbe postali jedan od najvećih izazova u modernoj kibernetičkoj sigurnosti.

Što se točno dogodilo s DAEMON Toolsom?

Istraživači Kasperskyja otkrili su široko rasprostranjenu kampanju u kojoj su legitimni instalacijski programi DAEMON Tools Lite modificirani kako bi uključili zlonamjerni sadržaj. Napad je navodno započeo 8. travnja 2026. i još je trajao kada su se pojavila prva izvješća, što ukazuje na to da su napadači uspjeli ostati neotkriveni nekoliko tjedana.

Povezani članak:

Podman, KVM i kontejneri: praktični vodič za sigurnu virtualizaciju

U ovom slučaju nisu korištene lažne web stranice ili piratske kopije programa . Trojanizirane datoteke bile su smještene na vlastitoj distribucijskoj infrastrukturi DAEMON Toolsa i potpisane su važećim digitalnim certifikatom tvrtke AVB Disc Soft, odgovorne za razvoj softvera. Bilo kojem korisniku i mnogim sigurnosnim sustavima, ovi instalatori djelovali su potpuno pouzdano.

Prema objavljenim analizama, radilo se o pažljivo planiranom napadu na lanac opskrbe u kojem su kriminalci uspjeli ubrizgati zlonamjerni kod u nekoliko izvršnih datoteka uključenih u kompromitirane verzije programa. Ove modificirane binarne datoteke automatski su se pokretale pri pokretanju sustava, uspostavljajući tihu komunikaciju s komandnim i kontrolnim poslužiteljima pod kontrolom napadača.

Kampanja je rezultirala tisućama pokušaja zaraze u više od 100 zemalja . Većina žrtava bili su kućni korisnici, ali otprilike 10% zlonamjernih instalacija otkriveno je na sustavima koji pripadaju organizacijama. To je uključivalo sektore visoke vrijednosti poput javne uprave, znanstvenih istraživanja, proizvodnje i maloprodaje.

Napad nije bio samo o neselektivnoj infekciji ; bio je usmjeren na određene pojedince. Prva faza djelovala je kao filter, prikupljajući podatke o sustavu, a na temelju tih informacija napadači su odlučivali isplati li se primijeniti mnogo sofisticiraniju drugu fazu s naprednim mogućnostima špijunaže i daljinskog upravljanja.

Pogođene verzije i kompromitirane komponente

Izvješća se slažu da je problem ograničen na određeni raspon verzija DAEMON Tools Lite. Pogođene verzije softvera su između 12.5.0.2421 i 12.5.0.2434, uključujući te verzije. Svatko tko je instalirao jednu od ovih verzija, posebno nakon 8. travnja 2026., trebao bi biti svjestan stvarnog rizika od kompromitiranja.

Unutar tog raspona, napadači su modificirali tri ključne izvršne datoteke programa , koje su instalirane u korijenskom direktoriju DAEMON Toolsa i automatski se učitavaju sa sustavom ili samim softverom. Binarne datoteke identificirane kao zlonamjerne su:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Ove trojanizirane izvršne datoteke ponašale su se kao učitavači: prilikom pokretanja uspostavljale su vezu s domenom koju kontroliraju napadači i mogle su izvršavati naredbe putem cmd.exe za preuzimanje i pokretanje drugih zlonamjernih programa. Tehničke analize spominju, na primjer, korištenje datoteka poput envchk.exe , cdg.exe i cdg.tmp , koje su funkcionirale kao dodatne komponente unutar lanca infekcije.

Telemetrija koju su prikupila sigurnosna rješenja omogućila je povezivanje ove aktivnosti s ciljanom globalnom operacijom . Iako je količina pokušaja zaraze bila velika, druga faza je provedena protiv vrlo malog broja pažljivo odabranih žrtava, što je pojačalo ideju da se ne radi samo o masovnoj kampanji, već o ciljanom napadu na subjekte s osjetljivim informacijama ili kritičnom infrastrukturom.

Kako bi obuzdao incident, AVB Disc Soft je izdao verziju 12.6.0.2445 programa DAEMON Tools Lite , koju su razne sigurnosne tvrtke potvrdile kao čistu. Ovo ažuriranje uklanja kompromitirane izvršne datoteke i uvodi legitimne komponente bez zlonamjernog koda, što ga trenutno čini jedinom sigurnom verzijom za one koji trebaju nastaviti koristiti program.

Kako napad funkcionira: od prve do druge faze

Ponašanje zlonamjernog softvera povezanog s DAEMON Toolsima slijedi tipičan dvofazni obrazac napada , vrlo uobičajen u ciljanim operacijama. Prvo se raspoređuje lagana izviđačka komponenta, a samo u određenim slučajevima raspoređuju se složeniji alati za preuzimanje kontrole nad sustavom.

U prvoj fazi, zlonamjerni kod ugrađen u modificirane binarne datoteke neprestano se pokreće svaki put kada se Windows pokrene. Od tog trenutka nadalje, kompromitovano računalo šalje zahtjev poslužitelju za naredbe i kontrolu koristeći domenu koja se čini legitimnom, kao što je env-check.daemontools.cc, kako bi primilo daljnje upute.

"Prvi korak" napada je osnovni modul za prikupljanje informacija . Ova komponenta izdvaja i napadačima šalje podatke kao što su MAC adresa, naziv hosta, DNS domena, popis pokrenutih procesa, instalirani softver te regionalne i jezične postavke sustava. Sa svim tim informacijama, kibernetički kriminalci stvaraju detaljan profil zaraženog računala.

U većini otkrivenih infekcija, situacija nije napredovala dalje od ove početne razine špijunaže . Sustavi su primali samo sakupljač podataka, bez preuzimanja ikakvih snažnijih modula. Unatoč tome, to je ozbiljan upad jer napadačima omogućuje identificiranje okruženja koja su atraktivne mete za naknadne napade i curenje potencijalno osjetljivih informacija o infrastrukturi žrtve.

U vrlo malom podskupu slučajeva, uglavnom povezanih s vladinim agencijama, istraživačkim centrima te industrijskim i maloprodajnim tvrtkama u zemljama poput Rusije, Bjelorusije ili Tajlanda, naredbeni poslužitelj odgovorio je slanjem drugog korisnog tereta: minimalističkog stražnjeg vrata s puno naprednijim mogućnostima daljinskog upravljanja.

Ovaj backdoor druge faze može preuzeti i izvršavati nove podatke, pokretati naredbe ljuske i izvršavati kod izravno u memoriji praktički bez traga na disku, što otkrivanje čini izuzetno teškim. Nakon toga, sustav je prepušten na milost i nemilost napadača, koji se mogu prebaciti na druga računala, ukrasti dokumente ili primijeniti dodatne alate za špijunažu.

U najkritičnijim slučajevima uočeno je postavljanje implantata pod nazivom QUIC RAT . Ovaj trojanac za udaljeni pristup podržava različite komunikacijske protokole s komandnim i kontrolnim poslužiteljem te je sposoban ubrizgati zlonamjerni kod u legitimne procese poput notepad.exe ili conhost.exe. Ova vrsta tehnike ubrizgavanja pomaže u kamuflaži zlonamjernih aktivnosti među pouzdanim procesima operacijskog sustava.

Razmjeri incidenta i pogođene zemlje

Do sada prikupljeni podaci pokazuju napad velikih razmjera, ali s vrlo selektivnom upotrebom najštetnijih mogućnosti . Od početka travnja zabilježeno je nekoliko tisuća pokušaja instaliranja dodatnih zlonamjernih sadržaja putem kompromitiranih instalacijskih programa DAEMON Tools Lite.

Većina pogođenih računala pripada kućnim korisnicima, što je logično s obzirom na to da se DAEMON Tools godinama koristi kao standardni alat za montiranje ISO slika i stvaranje virtualnih CD, DVD ili Blu-ray pogona. Utjecaj se proširio na otprilike stotinu zemalja i teritorija, s posebno visokom koncentracijom žrtava u Rusiji, Brazilu, Turskoj, Španjolskoj, Njemačkoj, Francuskoj, Italiji i Kini.

Međutim, istraživači naglašavaju da je za drugu fazu napada , u kojoj su korišteni lagani backdoor i RAT temeljen na QUIC-u, odabrano samo desetak uređaja. To je uključivalo sustave vladinih agencija, znanstvenih institucija, proizvodnih tvrtki i maloprodajne infrastrukture, što je više u skladu s ciljanom operacijom nego s jednostavnim, oportunističkim, masovnim napadom.

Ovaj obrazac sugerira da su napadači koristili DAEMON Tools kao široku ulaznu točku , ali da je pravi cilj bio špijuniranje ili kompromitiranje određenih mreža od visoke strateške vrijednosti. Preostale žrtve uglavnom su služile kao pozadinska buka i paravan kako bi bolje prikrile aktivnosti usmjerene na te prioritetne ciljeve.

Još jedan upečatljiv detalj je prisutnost komponenti zlonamjernog softvera napisanih na kineskom jeziku . Neki analitičari sugeriraju da bi to moglo ukazivati ​​na moguće podrijetlo programera napada, iako je također sasvim moguće da se radi o taktici odvraćanja pozornosti kako bi se pozornost skrenula na određene zemlje ili skupine i zakompliciralo pripisivanje.

Iz perspektive prosječnog korisnika, najveći je problem što se cijeli ovaj napad oslanjao na ogromno povjerenje koje je generirao tako rašireni softver . Milijuni ljudi godinama su pretpostavljali da ako preuzmu instalacijski program sa službene web stranice i ako ima valjani digitalni potpis, nemaju razloga za brigu. Ovaj slučaj pokazuje da čak ni ti znakovi povjerenja nisu nepogrešivi.

DAEMON Tools, predani klasik u svom najboljem izdanju

Kako bismo razumjeli opseg problema, važno je zapamtiti da DAEMON Tools nije sporedna aplikacija , već dobro uspostavljen alat u Windows ekosustavu. Desetljećima se koristi za montiranje slika diskova u formatima kao što su ISO, IMG, UDF, BIN i NRG, koji sadrže kompletnu strukturu CD-ova, DVD-ova, pa čak i tvrdih diskova i SSD-ova.

Tijekom zlatnog doba optičkih medija, DAEMON Tools je postao praktički de facto standard za one koji su svakodnevno trebali raditi sa slikama diskova. Iako danas postoje lakše ili alternative otvorenog koda - poput WinCDEmu u Windows okruženju - program i dalje ima ogromnu bazu korisnika, kako u kućnim tako i u poslovnim okruženjima.

Razvojni programeri uslužnog programa navode da softver održava više od tri milijuna mjesečnih korisnika , što objašnjava zašto kampanja ove vrste može tako brzo dosegnuti tisuće računala diljem svijeta. Što je alat popularniji, to je napadačima privlačnije infiltrirati se u njegov distribucijski lanac.

U tom kontekstu, činjenica da su svi zlonamjerni instalacijski programi bili potpisani važećim certifikatom posebno je zabrinjavajuća. U mnogim slučajevima i korisnici i same sigurnosne platforme uzimaju digitalni potpis kao pokazatelj autentičnosti, pretpostavljajući da binarna datoteka nije mijenjana. Međutim, ovdje su napadači uspjeli ubaciti svoj kod prije nego što je potpis dobiven ili ponovno upotrijebiti legitimnu infrastrukturu za potpisivanje tvrtke.

Incident s DAEMON Toolsima pridodaje se rastućem popisu napada na lanac opskrbe softverom otkrivenih od početka godine. Sigurnosna izvješća spominju slične slučajeve koji su pogodili rješenja poput eScana u siječnju, Notepada++ u veljači i CPU-Z-a u travnju, ističući jasan trend: umjesto izravnog ciljanja pojedinačnih korisnika, kibernetički kriminalci radije kompromitiraju središnju vezu i puštaju da sama distribucija softvera obavi ostalo.

Specifični rizici za korisnike i organizacije

Osim medijske pompe, ono što je zaista važno jest što se može dogoditi na računalu na kojem je instalirana zaražena verzija DAEMON Toolsa . Rizici variraju ovisno o tome koliko je daleko napredovao lanac zaraze, ali čak i u manje ozbiljnim scenarijima utjecaj je značajan.

U početnoj fazi, glavni utjecaj je tiha krađa sistemskih informacija . Podaci poput MAC adrese, naziva hosta, lokalizacije ili popisa instaliranog softvera mogu se činiti beznačajnima, ali u rukama napadača omogućuju mu profiliranje mreže, identificiranje ranjivih verzija drugih programa i pripremu mnogo sofisticiranijih naknadnih napada.

Ako se sustav odabere za drugu fazu, opasnost se značajno povećava. Lagani backdoor omogućuje izvršavanje udaljenih naredbi i preuzimanje dodatnih datoteka , otvarajući vrata cijelom nizu prijetnji: od krađe vjerodajnica i osjetljivih dokumenata do instalacije ransomwarea ili korištenja računala kao ulazne točke za kompromitiranje cijele korporativne mreže.

Implementacijom QUIC RAT-a, napadači dobivaju gotovo potpuni udaljeni pristup uređaju . Mogu ubrizgati kod u legitimne procese, zaobići neke sigurnosne kontrole, kretati se lateralno po mreži i održavati postojanost dulje vrijeme bez izazivanja sumnje. U rukama dobro opremljenog aktera, ova vrsta alata savršena je za kampanje industrijske špijunaže ili za dobivanje duljeg pristupa kritičnoj infrastrukturi.

U organizacijama sa strogim sigurnosnim zahtjevima, upad putem uobičajenog softvera poput DAEMON Toolsa posebno je problematičan. Mnoga radna okruženja pretpostavljaju da su široko poznati, digitalno potpisani uslužni programi sigurni prema zadanim postavkama, pa praćenje njihovog ponašanja može biti manje učinkovito nego kod nepoznatih ili nedavno objavljenih alata.

Nadalje, ova vrsta incidenta narušava cjelokupno povjerenje u lanac distribucije softvera . Ako potpisani službeni instalacijski program više nije dovoljno jamstvo, tvrtke su prisiljene ojačati svoje interne procese validacije, praćenja i ranog odgovora, što podrazumijeva dodatna ulaganja vremena i resursa.

Kako znati jeste li ranjivi i što učiniti ako koristite DAEMON Tools

U takvom scenariju, prvo logično pitanje je očito: Imam li na računalu instaliranu pogođenu verziju? Osnovna provjera uključuje pregled broja verzije programa DAEMON Tools Lite. Ako se nalazi između 12.5.0.2421 i 12.5.0.2434 te je instaliran ili ažuriran 8. travnja 2026. ili kasnije, postoji mnogo razloga za zabrinutost.

Kako bi se smanjili rizici, stručnjaci preporučuju niz jasnih koraka. Prvo, odmah deinstalirajte sve Lite verzije unutar kompromitiranog raspona i, ako želite nastaviti koristiti aplikaciju, migrirajte na verziju 12.6.0.2445 ili noviju, za koju je potvrđeno da ne sadrži otkrivene zlonamjerne modifikacije.

Zatim je bitno provesti temeljitu analizu sustava pomoću pouzdanog sigurnosnog rješenja . Vodeći sigurnosni paketi već uključuju specifične detekcije za manipulirane binarne datoteke i korisne sadržaje povezane s ovom kampanjom, tako da potpuno skeniranje može pomoći u lociranju tragova zlonamjernog softvera, čak i ako su izvorni instalacijski programi uklonjeni.

U korporativnim okruženjima mjere moraju biti još strože. Organizacije moraju izolirati krajnje točke na kojima je DAEMON Tools otkriven kao kompromitiran , pregledati zapisnike za anomalne aktivnosti od početka travnja i provjeriti integritet potpisanih izvršnih datoteka na svojim sustavima. Također se preporučuje praćenje mrežnog prometa radi povezivanja sa sumnjivim domenama povezanim s kampanjom.

Konačno, i kod kuće i na poslu, preporučljivo je pažljivo ispitati sve čudne ili nedavno dodane procese , kao i svako neobično izvršavanje iz privremenih mapa ili neuobičajenih direktorija. Iako backdoori i QUIC RAT-ovi pokušavaju djelovati prikriveno, u mnogim slučajevima ostavljaju male tragove koji se, uz pravilno praćenje, mogu otkriti.

Debakl s DAEMON Toolsom pokazuje da puko fokusiranje na porijeklo instalacijskog programa više nije dovoljno . Validacija digitalnih potpisa ostaje važna, ali postalo je bitno nadopuniti ovu kontrolu dodatnim slojevima sigurnosti: analizom ponašanja, internim bijelim listama, segmentacijom mreže i strogim pravilima o tome koji se softver može implementirati u svakom okruženju, uključujući sigurne prakse virtualizacije.

Unutar trenutnog krajolika prijetnji, napad na DAEMON Tools postao je školski primjer kako se legitiman, dobro uspostavljen softver može koristiti kao trojanski konj za masovno kompromitiranje sustava i istovremeno izvršavanje visoko ciljanih operacija protiv male skupine visokovrijednih žrtava. Za svakodnevne korisnike, lekcija je jasna: preporučljivo je temeljito provjeriti svaku nedavnu instalaciju programa, odmah ga ažurirati i ostati oprezan čak i ako softver teoretski dolazi iz najslužbenijeg mogućeg izvora.