DAEMON Tools terinfeksi malware: apa yang terjadi dan bagaimana cara melindungi diri Anda

Informatec Digital » Sumber daya » DAEMON Tools terinfeksi malware: apa yang terjadi dan bagaimana cara melindungi diri Anda

Berita ini sungguh mengejutkan: versi resmi DAEMON Tools Lite telah menyebarkan malware ke ribuan komputer di lebih dari seratus negara melalui serangan rantai pasokan yang membuat pengguna dan perusahaan sama sekali lengah. Kita tidak berbicara tentang salinan bajakan atau situs web penipuan, melainkan penginstal yang diunduh langsung dari situs resmi pengembang, ditandatangani secara digital dan, tampaknya, sepenuhnya sah.

Insiden ini sangat mengkhawatirkan karena melibatkan perangkat lunak yang sudah lama dikenal dan sangat populer. DAEMON Tools telah menjadi perangkat lunak terkemuka untuk memasang citra ISO dan membuat drive virtual selama lebih dari 15 tahun , dengan jutaan pengguna bulanan dari individu maupun organisasi. Fakta bahwa perangkat lunak yang begitu terkenal telah digunakan sebagai sarana untuk pintu belakang (backdoor) dan Trojan pencuri data menunjukkan sejauh mana serangan rantai pasokan telah menjadi salah satu tantangan terbesar dalam keamanan siber modern.

Apa sebenarnya yang terjadi pada DAEMON Tools?

Para peneliti Kaspersky telah mengungkap kampanye luas di mana penginstal DAEMON Tools Lite yang sah dimodifikasi untuk menyertakan muatan berbahaya. Serangan tersebut dilaporkan dimulai pada 8 April 2026, dan masih berlangsung ketika laporan pertama muncul, menunjukkan bahwa para penyerang berhasil tetap tidak terdeteksi selama beberapa minggu.

Artikel terkait:

Podman, KVM, dan kontainer: panduan praktis untuk virtualisasi yang aman.

Dalam kasus ini, tidak ada situs web palsu atau salinan bajakan program yang digunakan . File yang disusupi Trojan dihosting di infrastruktur distribusi DAEMON Tools sendiri dan ditandatangani dengan sertifikat digital yang valid dari AVB Disc Soft, perusahaan yang bertanggung jawab mengembangkan perangkat lunak tersebut. Bagi setiap pengguna, dan bagi banyak sistem keamanan, penginstal ini tampak sepenuhnya dapat dipercaya.

Menurut analisis yang dipublikasikan, ini adalah serangan rantai pasokan yang direncanakan dengan cermat di mana para penjahat berhasil menyuntikkan kode berbahaya ke dalam beberapa file yang dapat dieksekusi yang termasuk dalam versi program yang telah disusupi. File biner yang dimodifikasi ini berjalan secara otomatis saat sistem diny启动, membangun komunikasi diam-diam dengan server perintah dan kontrol yang berada di bawah kendali penyerang.

Kampanye tersebut mengakibatkan ribuan upaya infeksi di lebih dari 100 negara . Sebagian besar korban adalah pengguna rumahan, tetapi sekitar 10% instalasi berbahaya terdeteksi pada sistem milik organisasi. Ini termasuk sektor-sektor bernilai tinggi seperti administrasi publik, penelitian ilmiah, manufaktur, dan ritel.

Serangan itu bukan hanya tentang infeksi tanpa pandang bulu ; serangan itu ditargetkan pada individu-individu tertentu. Fase pertama bertindak sebagai filter, mengumpulkan data sistem, dan berdasarkan informasi tersebut, para penyerang memutuskan apakah layak untuk melancarkan tahap kedua yang jauh lebih canggih dengan kemampuan spionase dan kendali jarak jauh yang mutakhir.

Versi yang terpengaruh dan komponen yang terkompromikan

Laporan-laporan sepakat bahwa masalah ini terbatas pada rentang versi DAEMON Tools Lite tertentu. Versi perangkat lunak yang terpengaruh adalah antara 12.5.0.2421 dan 12.5.0.2434, termasuk di dalamnya. Siapa pun yang telah menginstal salah satu versi ini, terutama setelah 8 April 2026, harus menyadari risiko nyata terjadinya pelanggaran keamanan.

Dalam rentang tersebut, penyerang memodifikasi tiga file eksekusi program utama , yang diinstal di direktori root DAEMON Tools dan dimuat secara otomatis bersama sistem atau perangkat lunak itu sendiri. File biner yang diidentifikasi sebagai berbahaya adalah:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

File- file eksekusi yang disusupi Trojan ini berperilaku sebagai program pemuat (loader): saat dijalankan, file-file tersebut membuat koneksi dengan domain yang dikendalikan oleh penyerang dan mampu mengeksekusi perintah melalui cmd.exe untuk mengunduh dan meluncurkan perangkat lunak berbahaya lainnya. Analisis teknis menyebutkan, misalnya, penggunaan file seperti envchk.exe , cdg.exe , dan cdg.tmp , yang berfungsi sebagai komponen tambahan dalam rantai infeksi.

Data telemetri yang dikumpulkan oleh solusi keamanan memungkinkan aktivitas ini dikaitkan dengan operasi global yang tertarget . Meskipun volume upaya infeksi tinggi, fase kedua dilancarkan terhadap sejumlah kecil korban yang dipilih dengan cermat, memperkuat gagasan bahwa ini bukan sekadar kampanye massal, tetapi serangan yang ditargetkan terhadap entitas dengan informasi sensitif atau infrastruktur penting.

Untuk mengatasi insiden tersebut, AVB Disc Soft merilis versi 12.6.0.2445 dari DAEMON Tools Lite , yang telah diverifikasi sebagai bersih oleh berbagai perusahaan keamanan. Pembaruan ini menghapus file eksekusi yang terinfeksi dan memperkenalkan komponen yang sah tanpa kode berbahaya, menjadikannya satu-satunya versi aman saat ini bagi mereka yang perlu terus menggunakan program tersebut.

Cara kerja serangan: dari fase pertama hingga fase kedua

Perilaku malware yang terkait dengan DAEMON Tools mengikuti pola serangan dua fase yang khas , sangat umum dalam operasi yang ditargetkan. Pertama, komponen pengintaian ringan dikerahkan, dan hanya dalam kasus tertentu alat yang lebih kompleks dikerahkan untuk mengambil kendali sistem.

Pada tahap pertama, kode berbahaya yang tertanam dalam biner yang dimodifikasi berjalan terus-menerus setiap kali Windows dimulai. Mulai saat itu, komputer yang terinfeksi mengirimkan permintaan ke server perintah dan kontrol menggunakan domain yang tampak sah, seperti env-check.daemontools.cc, untuk menerima instruksi lebih lanjut.

"Langkah pertama" serangan ini adalah modul pengumpulan informasi dasar . Komponen ini mengekstrak dan mengirimkan data kepada penyerang seperti alamat MAC, nama host, domain DNS, daftar proses yang berjalan, perangkat lunak yang terinstal, serta pengaturan regional dan bahasa sistem. Dengan semua informasi ini, penjahat siber membuat profil terperinci dari mesin yang terinfeksi.

Pada sebagian besar infeksi yang terdeteksi, situasinya tidak berkembang melampaui tingkat spionase awal ini . Sistem hanya menerima pengumpul data, tanpa modul yang lebih canggih diunduh. Meskipun demikian, ini merupakan intrusi serius karena memungkinkan penyerang untuk mengidentifikasi lingkungan yang menjadi target menarik untuk serangan selanjutnya dan membocorkan informasi yang berpotensi sensitif tentang infrastruktur korban.

Dalam sebagian kecil kasus, yang sebagian besar terkait dengan lembaga pemerintah, pusat penelitian, dan perusahaan industri serta ritel di negara-negara seperti Rusia, Belarus, atau Thailand, server perintah merespons dengan mengirimkan muatan kedua: sebuah pintu belakang minimalis dengan kemampuan kendali jarak jauh yang jauh lebih canggih.

Backdoor tahap kedua ini dapat mengunduh dan mengeksekusi muatan baru, meluncurkan perintah shell, dan menjalankan kode langsung di memori tanpa meninggalkan jejak di disk, sehingga deteksi menjadi sangat sulit. Dari situ, sistem berada di bawah kendali penyerang, yang dapat beralih ke mesin lain, mengeksfiltrasi dokumen, atau menyebarkan alat spionase tambahan.

Dalam kasus yang paling kritis, penyebaran implan yang disebut QUIC RAT telah diamati . Trojan akses jarak jauh ini mendukung berbagai protokol komunikasi dengan server perintah dan kontrol dan mampu menyuntikkan kode berbahaya ke dalam proses yang sah seperti notepad.exe atau conhost.exe. Teknik injeksi semacam ini membantu menyamarkan aktivitas berbahaya di antara proses sistem operasi yang tepercaya.

Besarnya insiden dan negara-negara yang terdampak

Data yang dikumpulkan sejauh ini menunjukkan serangan berskala besar, tetapi dengan penggunaan kemampuan yang paling merusak secara sangat selektif . Sejak awal April, beberapa ribu upaya telah tercatat untuk menginstal muatan berbahaya tambahan melalui penginstal DAEMON Tools Lite yang telah disusupi.

Sebagian besar komputer yang terdampak adalah milik pengguna rumahan, yang masuk akal mengingat DAEMON Tools telah digunakan selama bertahun-tahun sebagai alat standar untuk memasang citra ISO dan membuat drive CD, DVD, atau Blu-ray virtual. Dampaknya tersebar di sekitar seratus negara dan wilayah, dengan konsentrasi korban yang sangat tinggi di Rusia, Brasil, Turki, Spanyol, Jerman, Prancis, Italia, dan Tiongkok.

Namun, para peneliti menekankan bahwa hanya selusin perangkat yang dipilih untuk fase kedua serangan , di mana backdoor ringan dan RAT berbasis QUIC disebarkan. Perangkat-perangkat ini termasuk sistem milik lembaga pemerintah, lembaga ilmiah, perusahaan manufaktur, dan infrastruktur ritel, yang lebih sesuai dengan operasi yang ditargetkan daripada serangan massal yang sederhana dan oportunistik.

Pola ini menunjukkan bahwa penyerang menggunakan DAEMON Tools sebagai titik masuk yang luas , tetapi tujuan sebenarnya adalah untuk memata-matai atau membahayakan jaringan spesifik yang memiliki nilai strategis tinggi. Korban lainnya sebagian besar berfungsi sebagai gangguan latar belakang dan penutup untuk lebih menyembunyikan aktivitas yang diarahkan pada target prioritas tersebut.

Detail mencolok lainnya adalah keberadaan komponen malware yang ditulis dalam bahasa Mandarin . Beberapa analis berpendapat bahwa ini bisa mengindikasikan kemungkinan asal usul pengembang serangan tersebut, meskipun sangat mungkin juga bahwa ini adalah taktik pengalihan untuk mengalihkan perhatian ke negara atau kelompok tertentu dan mempersulit penentuan pelaku.

Dari sudut pandang pengguna awam, masalah terbesar adalah bahwa seluruh serangan ini bergantung pada kepercayaan besar yang dihasilkan oleh perangkat lunak yang tersebar luas tersebut . Jutaan orang telah berasumsi selama bertahun-tahun bahwa jika mereka mengunduh penginstal dari situs web resmi dan memiliki tanda tangan digital yang valid, tidak ada yang perlu dikhawatirkan. Kasus ini menunjukkan bahwa bahkan tanda-tanda kepercayaan ini pun tidak sepenuhnya aman.

DAEMON Tools, sebuah perangkat lunak klasik yang tetap unggul di masa jayanya.

Untuk memahami cakupan masalah ini, penting untuk diingat bahwa DAEMON Tools bukanlah aplikasi pinggiran , melainkan alat yang sudah mapan dalam ekosistem Windows. Selama beberapa dekade, alat ini telah digunakan untuk memasang citra disk dalam format seperti ISO, IMG, UDF, BIN, dan NRG, yang berisi struktur lengkap CD, DVD, dan bahkan hard drive serta SSD.

Pada masa keemasan media optik, DAEMON Tools praktis menjadi standar de facto bagi mereka yang perlu bekerja dengan citra disk setiap hari. Meskipun alternatif yang lebih ringan atau sumber terbuka ada saat ini—seperti WinCDEmu di lingkungan Windows—program ini masih memiliki basis pengguna yang sangat besar, baik di lingkungan rumahan maupun bisnis.

Para pengembang utilitas tersebut menunjukkan bahwa perangkat lunak tersebut memiliki lebih dari tiga juta pengguna bulanan , angka yang menjelaskan mengapa kampanye jenis ini dapat dengan cepat menjangkau ribuan komputer di seluruh dunia. Semakin populer suatu alat, semakin menarik bagi penyerang untuk menyusup ke rantai distribusinya.

Dalam konteks ini, fakta bahwa semua penginstal berbahaya ditandatangani dengan sertifikat yang valid sangat mengkhawatirkan. Dalam banyak kasus, baik pengguna maupun platform keamanan itu sendiri menganggap tanda tangan digital sebagai indikator keaslian, dengan asumsi bahwa file biner tersebut belum diubah. Namun, di sini, para penyerang berhasil menyisipkan kode mereka sebelum tanda tangan diperoleh atau menggunakan kembali infrastruktur penandatanganan sah perusahaan.

Insiden DAEMON Tools menambah daftar serangan rantai pasokan perangkat lunak yang semakin panjang yang terdeteksi sejak awal tahun. Laporan keamanan menyebutkan kasus serupa yang memengaruhi solusi seperti eScan pada bulan Januari, Notepad++ pada bulan Februari, dan CPU-Z pada bulan April, menyoroti tren yang jelas: alih-alih menargetkan pengguna individu secara langsung, penjahat siber lebih memilih untuk membahayakan tautan pusat dan membiarkan distribusi perangkat lunak itu sendiri yang melakukan sisanya.

Risiko spesifik bagi pengguna dan organisasi

Di luar gembar-gembor media, yang benar-benar penting adalah apa yang dapat terjadi pada komputer tempat versi DAEMON Tools yang terinfeksi telah terinstal . Risikonya bervariasi tergantung pada seberapa jauh rantai infeksi telah berkembang, tetapi bahkan dalam skenario yang kurang parah, dampaknya signifikan.

Pada fase awal, dampak utamanya adalah pencurian informasi sistem secara diam-diam . Data seperti alamat MAC, nama host, lokal, atau daftar perangkat lunak yang terinstal mungkin tampak tidak signifikan, tetapi di tangan penyerang, data tersebut memungkinkan mereka untuk membuat profil jaringan, mengidentifikasi versi program lain yang rentan, dan mempersiapkan serangan selanjutnya yang jauh lebih canggih.

Jika sistem dipilih untuk fase kedua, bahayanya meningkat secara signifikan. Backdoor ringan memungkinkan eksekusi perintah jarak jauh dan pengunduhan file tambahan , membuka pintu bagi berbagai ancaman: mulai dari pencurian kredensial dan dokumen sensitif hingga instalasi ransomware atau penggunaan komputer sebagai titik masuk untuk membahayakan seluruh jaringan perusahaan.

Dengan penyebaran QUIC RAT, penyerang mendapatkan akses jarak jauh yang hampir lengkap ke perangkat . Mereka dapat menyuntikkan kode ke dalam proses yang sah, melewati beberapa kontrol keamanan, bergerak secara lateral di seluruh jaringan, dan mempertahankan keberadaan mereka untuk jangka waktu yang lama tanpa menimbulkan kecurigaan. Di tangan pelaku yang memiliki sumber daya yang memadai, jenis alat ini sangat cocok untuk kampanye spionase industri atau untuk mendapatkan akses jangka panjang ke infrastruktur penting.

Di organisasi dengan persyaratan keamanan yang ketat, penyusupan melalui perangkat lunak umum seperti DAEMON Tools sangatlah bermasalah. Banyak lingkungan kerja berasumsi bahwa utilitas yang dikenal luas dan ditandatangani secara digital aman secara default, sehingga pemantauan perilakunya bisa lebih longgar dibandingkan dengan alat yang tidak dikenal atau baru dirilis.

Selain itu, jenis insiden ini mengikis kepercayaan secara keseluruhan pada rantai distribusi perangkat lunak . Jika penginstal resmi yang ditandatangani tidak lagi menjadi jaminan yang cukup, perusahaan terpaksa memperkuat proses validasi, pemantauan, dan respons awal internal mereka, yang memerlukan investasi tambahan waktu dan sumber daya.

Bagaimana mengetahui apakah Anda rentan dan apa yang harus dilakukan jika Anda menggunakan DAEMON Tools?

Dalam skenario seperti itu, pertanyaan logis pertama yang muncul adalah: Apakah saya memiliki versi yang terpengaruh yang terpasang di komputer saya? Pemeriksaan dasar melibatkan peninjauan nomor versi DAEMON Tools Lite. Jika nomor versinya berada di antara 12.5.0.2421 dan 12.5.0.2434, dan diinstal atau diperbarui pada atau setelah 8 April 2026, ada alasan kuat untuk khawatir.

Untuk mengurangi risiko, para ahli merekomendasikan serangkaian langkah yang jelas. Pertama, segera hapus instalasi versi Lite apa pun dalam jangkauan yang terinfeksi dan, jika Anda ingin terus menggunakan aplikasi, migrasikan ke versi 12.6.0.2445 atau lebih tinggi, yang telah dikonfirmasi bebas dari modifikasi berbahaya yang terdeteksi.

Selanjutnya, sangat penting untuk melakukan analisis sistem menyeluruh menggunakan solusi keamanan tepercaya . Perangkat lunak keamanan terkemuka sudah mencakup deteksi khusus untuk biner dan muatan yang dimanipulasi yang terkait dengan kampanye ini, sehingga pemindaian penuh dapat membantu menemukan jejak malware, bahkan jika penginstal aslinya telah dihapus.

Di lingkungan perusahaan, langkah-langkahnya harus lebih ketat. Organisasi harus mengisolasi titik akhir tempat DAEMON Tools terdeteksi telah disusupi , meninjau log untuk aktivitas anomali sejak awal April, dan memverifikasi integritas file eksekusi yang ditandatangani pada sistem mereka. Pemantauan lalu lintas jaringan untuk koneksi ke domain mencurigakan yang terkait dengan kampanye juga direkomendasikan.

Terakhir, baik di rumah maupun di tempat kerja, disarankan untuk memeriksa dengan cermat setiap proses yang aneh atau baru ditambahkan , serta setiap eksekusi yang tidak biasa dari folder sementara atau direktori yang tidak umum. Meskipun backdoor dan QUIC RAT mencoba beroperasi secara diam-diam, dalam banyak kasus mereka meninggalkan petunjuk kecil yang, dengan pemantauan yang tepat, dapat diungkap.

Skandal DAEMON Tools menunjukkan bahwa hanya berfokus pada asal usul penginstal saja tidak lagi cukup . Validasi tanda tangan digital tetap penting, tetapi menjadi penting untuk melengkapi kontrol ini dengan lapisan keamanan tambahan: analisis perilaku, daftar putih internal, segmentasi jaringan, dan kebijakan ketat tentang perangkat lunak apa yang dapat diterapkan di setiap lingkungan, termasuk praktik virtualisasi yang aman.

Dalam lanskap ancaman saat ini, serangan terhadap DAEMON Tools telah menjadi contoh klasik bagaimana perangkat lunak yang sah dan mapan dapat digunakan sebagai kuda Troya untuk membahayakan sistem secara massal dan, pada saat yang sama, menjalankan operasi yang sangat terarah terhadap sekelompok kecil korban bernilai tinggi. Bagi pengguna sehari-hari, pelajarannya jelas: disarankan untuk memeriksa secara menyeluruh setiap instalasi program terbaru, segera memperbarui, dan tetap waspada meskipun perangkat lunak tersebut secara teoritis berasal dari sumber yang paling resmi sekalipun.