DAEMON Tools inficēti ar ļaunprogrammatūru: kas notika un kā sevi pasargāt

Informatec Digital » Resursi » DAEMON Tools inficēti ar ļaunprogrammatūru: kas notika un kā sevi pasargāt

Šīs ziņas ir šokējošas: oficiālās DAEMON Tools Lite versijas ir izplatījušas ļaunprogrammatūru tūkstošiem datoru vairāk nekā simts valstīs, izmantojot piegādes ķēdes uzbrukumu, kas ir pilnībā pārsteidzis lietotājus un uzņēmumus. Mēs nerunājam par pirātiskām kopijām vai krāpnieciskām vietnēm, bet gan par instalētājiem, kas lejupielādēti tieši no izstrādātāja likumīgās vietnes, digitāli parakstīti un, šķiet, pilnīgi likumīgi.

Šis incidents rada īpašas bažas, jo tajā ir iesaistīts sen izveidots un ļoti populārs rīks. DAEMON Tools jau vairāk nekā 15 gadus ir vadošā programmatūra ISO attēlu instalēšanai un virtuālo disku izveidei , lepojoties ar miljoniem lietotāju mēnesī gan no privātpersonām, gan organizācijām. Fakts, ka tik labi pazīstama programmatūra ir izmantota kā līdzeklis aizmugurējo durvju un datus zādzoša Trojas zirga izveidei, parāda, cik lielā mērā piegādes ķēdes uzbrukumi ir kļuvuši par vienu no lielākajiem izaicinājumiem mūsdienu kiberdrošībā.

Kas īsti notika ar DAEMON Tools?

Kaspersky pētnieki ir atklājuši plaši izplatītu kampaņu, kurā likumīgi DAEMON Tools Lite instalētāji tika modificēti, lai iekļautu ļaunprātīgu vērtumu. Uzbrukums, kā ziņots, sākās 2026. gada 8. aprīlī un joprojām turpinājās, kad parādījās pirmie ziņojumi, kas liecina, ka uzbrucējiem izdevās palikt nepamanītiem vairākas nedēļas.

Saistītais raksts:

Podman, KVM un konteineri: praktisks ceļvedis drošai virtualizācijai

Šajā gadījumā netika izmantotas viltotas tīmekļa vietnes vai pirātiskas programmas kopijas . Trojiešu faili tika mitināti DAEMON Tools pašu izplatīšanas infrastruktūrā un bija parakstīti ar derīgu digitālo sertifikātu no AVB Disc Soft, uzņēmuma, kas ir atbildīgs par programmatūras izstrādi. Jebkuram lietotājam un daudzām drošības sistēmām šie instalētāji šķita pilnīgi uzticami.

Saskaņā ar publicētajām analīzēm, tas bija rūpīgi plānots piegādes ķēdes uzbrukums , kurā noziedzniekiem izdevās ievadīt ļaunprātīgu kodu vairākās izpildāmajās failās, kas bija iekļauti apdraudētajās programmas versijās. Šie modificētie binārie faili darbojās automātiski, startējot sistēmu, izveidojot klusu saziņu ar uzbrucēju kontrolē esošajiem komandu un kontroles serveriem.

Kampaņas rezultātā tika veikti tūkstošiem inficēšanas mēģinājumu vairāk nekā 100 valstīs . Lielākā daļa upuru bija mājas lietotāji, bet aptuveni 10% ļaunprātīgo instalāciju tika atklātas organizāciju sistēmās. To vidū bija tādas augstas vērtības nozares kā valsts pārvalde, zinātniskā pētniecība, ražošana un mazumtirdzniecība.

Uzbrukums nebija tikai neselektīva inficēšana ; tas bija vērsts pret konkrētām personām. Pirmā fāze darbojās kā filtrs, vācot sistēmas datus, un, pamatojoties uz šo informāciju, uzbrucēji nolēma, vai ir vērts izvietot daudz sarežģītāku otro posmu ar progresīvām spiegošanas un tālvadības iespējām.

Ietekmētās versijas un apdraudētie komponenti

Ziņojumos ir vienisprātis, ka problēma attiecas tikai uz noteiktu DAEMON Tools Lite versiju diapazonu. Skartās programmatūras versijas ir no 12.5.0.2421 līdz 12.5.0.2434 (ieskaitot). Ikvienam, kurš ir instalējis kādu no šīm versijām, īpaši pēc 2026. gada 8. aprīļa, jāapzinās reāls kompromitēšanas risks.

Šajā diapazonā uzbrucēji modificēja trīs galvenos programmas izpildāmos failus , kas ir instalēti DAEMON Tools saknes direktorijā un tiek automātiski ielādēti kopā ar sistēmu vai pašu programmatūru. Kā ļaunprātīgi identificētie binārie faili ir:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Šie Trojas zirga zirgiem pakļautie izpildāmie faili darbojās kā ielādētāji: startēšanas laikā tie izveidoja savienojumu ar uzbrucēju kontrolētu domēnu un, izmantojot cmd.exe, varēja izpildīt komandas, lai lejupielādētu un palaistu citus ļaunprogrammatūras gabalus. Tehniskajās analīzēs, piemēram, minēta tādu failu kā envchk.exe , cdg.exe un cdg.tmp izmantošana , kas darbojās kā papildu komponenti inficēšanas ķēdē.

Drošības risinājumu apkopotā telemetrija ļāva šo darbību sasaistīt ar mērķtiecīgu globālu operāciju . Lai gan inficēšanas mēģinājumu skaits bija liels, otrā fāze tika izmantota pret ļoti nelielu skaitu rūpīgi atlasītu upuru, pastiprinot domu, ka šī nebija tikai masveida kampaņa, bet gan mērķtiecīgs uzbrukums struktūrām ar sensitīvu informāciju vai kritisko infrastruktūru.

Lai ierobežotu incidentu, AVB Disc Soft izlaida DAEMON Tools Lite 12.6.0.2445 versiju , ko dažādas drošības firmas ir pārbaudījušas kā tīru. Šis atjauninājums noņem apdraudētos izpildāmos failus un ievieš likumīgus komponentus bez ļaunprātīga koda, padarot to par vienīgo drošo versiju tiem, kam ir jāturpina lietot programmu.

Kā notiek uzbrukums: no pirmās līdz otrajai fāzei

Ar DAEMON Tools saistītā ļaunprogrammatūra reaģē uz tipisku divfāžu uzbrukuma modeli , kas ir ļoti izplatīts mērķtiecīgās operācijās. Vispirms tiek izvietots viegls izlūkošanas komponents, un tikai dažos gadījumos tiek izvietoti sarežģītāki rīki, lai pārņemtu sistēmas kontroli.

Pirmajā posmā modificētajos bināros failos iegultais ļaunprātīgais kods darbojas pastāvīgi katru reizi, kad tiek startēta sistēma Windows. Kopš šī brīža apdraudētais dators nosūta pieprasījumu komandu un vadības serverim, izmantojot šķietami likumīgu domēnu, piemēram, env-check.daemontools.cc, lai saņemtu turpmākus norādījumus.

Uzbrukuma "pirmais solis" ir pamata informācijas vākšanas modulis . Šis komponents iegūst un nosūta uzbrucējiem datus, piemēram, MAC adresi, resursdatora nosaukumu, DNS domēnu, darbojošos procesu sarakstu, instalēto programmatūru un sistēmas reģionālos un valodas iestatījumus. Izmantojot visu šo informāciju, kibernoziedznieki izveido detalizētu inficētās ierīces profilu.

Vairumā atklāto infekciju situācija neprogresēja tālāk par šo sākotnējo spiegošanas līmeni . Sistēmas saņēma tikai datu savācēju, bez jaudīgāku moduļu lejupielādes. Tomēr tā ir nopietna ielaušanās, jo ļauj uzbrucējiem identificēt vides, kas ir pievilcīgi mērķi turpmākiem uzbrukumiem, un nopludināt potenciāli sensitīvu informāciju par upura infrastruktūru.

Ļoti nelielā gadījumu apakškopā, kas galvenokārt bija saistīti ar valdības aģentūrām, pētniecības centriem un rūpniecības un mazumtirdzniecības uzņēmumiem tādās valstīs kā Krievija, Baltkrievija vai Taizeme, komandu serveris atbildēja, nosūtot otru vērtumu: minimālistisku aizmugurējo durvju sistēmu ar daudz modernākām tālvadības iespējām.

Šīs otrās pakāpes aizmugurējās durvis var lejupielādēt un izpildīt jaunas slodzes, palaist čaulas komandas un palaist kodu tieši atmiņā, praktiski neatstājot nekādas pēdas diskā, padarot atklāšanu ārkārtīgi sarežģītu. No turienes sistēma ir uzbrucēju žēlastībā, kuri var pārslēgties uz citām mašīnām, izfiltrēt dokumentus vai izvietot papildu spiegošanas rīkus.

Kritiskākajos gadījumos ir novērota implanta, ko sauc par QUIC RAT, izvietošana . Šis attālās piekļuves Trojas zirgs atbalsta dažādus saziņas protokolus ar komandu un vadības serveri un spēj ievietot ļaunprātīgu kodu likumīgos procesos, piemēram, notepad.exe vai conhost.exe. Šāda veida ievietošanas tehnika palīdz maskēt ļaunprātīgu darbību uzticamu operētājsistēmas procesu vidū.

Incidenta apmērs un skartās valstis

Līdz šim apkopotie dati liecina par liela mēroga uzbrukumu, taču ar ļoti selektīvu visnekaitīgāko iespēju izmantošanu . Kopš aprīļa sākuma ir reģistrēti vairāki tūkstoši mēģinājumu instalēt papildu ļaunprātīgu slodzi, izmantojot kompromitētus DAEMON Tools Lite instalētājus.

Lielākā daļa skarto datoru pieder mājas lietotājiem, kas ir loģiski, ņemot vērā, ka DAEMON Tools jau gadiem ilgi tiek izmantots kā standarta rīks ISO attēlu pievienošanai un virtuālu CD, DVD vai Blu-ray disku izveidei. Ietekme ir izplatīta aptuveni simts valstīs un teritorijās, un īpaši liela upuru koncentrācija ir Krievijā, Brazīlijā, Turcijā, Spānijā, Vācijā, Francijā, Itālijā un Ķīnā.

Tomēr pētnieki uzsver, ka uzbrukuma otrajai fāzei , kurā tika izmantota vieglā aizmugurējā durvju sistēma un uz QUIC balstītā RAT, tika atlasītas tikai ducis ierīču. Starp tām bija sistēmas, kas piederēja valdības aģentūrām, zinātniskām iestādēm, ražošanas uzņēmumiem un mazumtirdzniecības infrastruktūrai, kas vairāk atbilst mērķtiecīgai operācijai nekā vienkāršam, oportūnistiskam masveida uzbrukumam.

Šī tendence liecina, ka uzbrucēji izmantoja DAEMON Tools kā plašu ieejas punktu , taču patiesais mērķis bija izspiegot vai apdraudēt konkrētus tīklus ar augstu stratēģisko vērtību. Atlikušie upuri lielā mērā kalpoja kā fona troksnis un aizsegs, lai labāk slēptu darbības, kas vērstas pret šiem prioritārajiem mērķiem.

Vēl viena pārsteidzoša detaļa ir ķīniešu valodā rakstītu ļaunprogrammatūras komponentu klātbūtne . Daži analītiķi norāda, ka tas varētu norādīt uz iespējamu uzbrukuma izstrādātāju izcelsmi, lai gan ir arī pilnīgi iespējams, ka tā ir uzmanības novēršanas taktika, lai novērstu uzmanību uz konkrētām valstīm vai grupām un sarežģītu attiecināšanas noteikšanu.

No vidusmēra lietotāja viedokļa lielākā problēma ir tā, ka viss šis uzbrukums ir balstījies uz milzīgo uzticēšanos, ko radījusi tik plaši izplatīta programmatūra . Miljoniem cilvēku gadiem ilgi ir pieņēmuši, ka, ja viņi lejupielādē instalētāju no oficiālās vietnes un tam ir derīgs digitālais paraksts, tad nav par ko uztraukties. Šis gadījums parāda, ka pat šīs uzticēšanās pazīmes nav nevainojamas.

DAEMON Tools — uzticams klasikas šedevrs savā labākajā laikā

Lai izprastu problēmas apmēru, ir svarīgi atcerēties, ka DAEMON Tools nav margināla lietojumprogramma , bet gan labi pazīstams rīks Windows ekosistēmā. Jau gadu desmitiem tas ir izmantots disku attēlu pievienošanai tādos formātos kā ISO, IMG, UDF, BIN un NRG, kas satur pilnu CD, DVD un pat cieto disku un SSD disku struktūru.

Optisko datu nesēju zelta laikmetā DAEMON Tools kļuva praktiski par de facto standartu tiem, kam ikdienā bija jāstrādā ar disku attēliem. Lai gan mūsdienās pastāv vieglākas vai atvērtā koda alternatīvas, piemēram, WinCDEmu Windows vidē, programmai joprojām ir milzīga lietotāju bāze gan mājas, gan uzņēmumu vidē.

Utilitātes izstrādātāji norāda, ka programmatūrai ir vairāk nekā trīs miljoni lietotāju mēnesī , un šis skaitlis izskaidro, kāpēc šāda veida kampaņa var tik ātri sasniegt tūkstošiem datoru visā pasaulē. Jo lielāka ir rīka popularitāte, jo pievilcīgāk uzbrucējiem ir iefiltrēties tā izplatīšanas ķēdē.

Šajā kontekstā īpaši satraucošs ir fakts, ka visi ļaunprātīgie instalētāji bija parakstīti ar derīgu sertifikātu . Daudzos gadījumos gan lietotāji, gan pašas drošības platformas digitālo parakstu uzskata par autentiskuma indikatoru, pieņemot, ka binārais fails nav ticis manipulēts. Tomēr šajā gadījumā uzbrucējiem izdevās ielauzties savā kodā pirms paraksta iegūšanas vai atkārtoti izmantot uzņēmuma likumīgo parakstīšanas infrastruktūru.

DAEMON Tools incidents papildina pieaugošo programmatūras piegādes ķēdes uzbrukumu sarakstu, kas atklāts kopš gada sākuma. Drošības ziņojumos minēti līdzīgi gadījumi, kas ietekmē tādus risinājumus kā eScan janvārī, Notepad++ februārī un CPU-Z aprīlī, izceļot skaidru tendenci: kibernoziedznieki nevis tieši mērķē uz atsevišķiem lietotājiem, bet gan dod priekšroku apdraudēt centrālo saiti un ļaut programmatūras izplatīšanai pašai paveikt pārējo.

Īpaši riski lietotājiem un organizācijām

Papildus mediju ažiotāžai, patiesi svarīgi ir tas, kas var notikt datorā, kurā ir instalēta inficēta DAEMON Tools versija . Riski atšķiras atkarībā no tā, cik tālu ir attīstījusies inficēšanās ķēde, taču pat mazāk nopietnos gadījumos ietekme ir ievērojama.

Sākotnējā fāzē galvenā ietekme ir klusa sistēmas informācijas zādzība . Tādi dati kā MAC adrese, resursdatora nosaukums, lokalizācija vai instalētās programmatūras saraksts var šķist nenozīmīgi, taču uzbrucēja rokās tie ļauj viņam profilēt tīklu, identificēt citu programmu neaizsargātas versijas un sagatavot daudz sarežģītākus turpmākus uzbrukumus.

Ja sistēma tiek izvēlēta otrajai fāzei, briesmas ievērojami palielinās. Viegli lietojamā aizmugurējā durvju sistēma ļauj attālināti izpildīt komandas un lejupielādēt papildu failus , paverot durvis veselai virknei draudu: sākot no akreditācijas datu un sensitīvu dokumentu zādzības līdz izspiedējvīrusu instalēšanai vai datora izmantošanai kā ieejas punktam, lai apdraudētu visu korporatīvo tīklu.

Ieviešot QUIC RAT, uzbrucēji iegūst praktiski pilnīgu attālo piekļuvi ierīcei . Viņi var ievadīt kodu likumīgos procesos, apiet dažas drošības kontroles, pārvietoties laterāli pa tīklu un ilgstoši saglabāt noturību, neradot aizdomas. Labi nodrošināta dalībnieka rokās šāda veida rīks ir ideāli piemērots rūpnieciskās spiegošanas kampaņām vai ilgstošas ​​piekļuves iegūšanai kritiskajai infrastruktūrai.

Organizācijās ar stingrām drošības prasībām ielaušanās, izmantojot tādu izplatītu programmatūru kā DAEMON Tools, ir īpaši problemātiska. Daudzās darba vidēs tiek pieņemts, ka plaši zināmas, digitāli parakstītas utilītas pēc noklusējuma ir drošas, tāpēc to darbības uzraudzība var būt mazāk pavirša nekā ar nezināmiem vai nesen izlaistiem rīkiem.

Turklāt šāda veida incidents grauj kopējo uzticību programmatūras izplatīšanas ķēdei . Ja parakstīts oficiāls instalētājs vairs nav pietiekama garantija, uzņēmumiem ir jāstiprina savi iekšējie validācijas, uzraudzības un agrīnās reaģēšanas procesi, kas prasa papildu laika un resursu ieguldījumus.

Kā zināt, vai esat ievainojams, un ko darīt, ja izmantojat DAEMON Tools

Šādā scenārijā pirmais loģiskais jautājums ir acīmredzams: vai manā datorā ir instalēta skartā versija? Pamata pārbaude ietver DAEMON Tools Lite versijas numura pārskatīšanu. Ja tas ir no 12.5.0.2421 līdz 12.5.0.2434 un tika instalēts vai atjaunināts 2026. gada 8. aprīlī vai vēlāk, ir pietiekams pamats bažām.

Lai mazinātu riskus, eksperti iesaka virkni skaidru darbību. Vispirms nekavējoties atinstalējiet jebkuru Lite versiju apdraudētajā diapazonā un, ja vēlaties turpināt lietot lietojumprogrammu, migrējiet uz versiju 12.6.0.2445 vai jaunāku, kas ir apstiprināta kā brīva no konstatētajām ļaunprātīgajām modifikācijām.

Tālāk ir svarīgi veikt rūpīgu sistēmas analīzi, izmantojot uzticamu drošības risinājumu . Vadošie drošības komplekti jau ietver īpašus noteikšanas mehānismus manipulētiem binārajiem failiem un vērtajām apjomiem, kas saistīti ar šo kampaņu, tāpēc pilna skenēšana var palīdzēt atrast ļaunprogrammatūras pēdas, pat ja sākotnējie instalētāji ir noņemti.

Korporatīvajā vidē pasākumiem jābūt vēl stingrākiem. Organizācijām ir jāizolē galapunkti, kuros DAEMON Tools ir konstatēts kā apdraudēts , jāpārskata žurnāli, lai konstatētu anomālas darbības kopš aprīļa sākuma, un jāpārbauda parakstīto izpildāmo failu integritāte savās sistēmās. Ieteicams arī uzraudzīt tīkla trafiku, lai atrastu savienojumus ar aizdomīgiem domēniem, kas saistīti ar kampaņu.

Visbeidzot, gan mājās, gan darbā ieteicams rūpīgi pārbaudīt visus dīvainos vai nesen pievienotos procesus , kā arī jebkuru neparastu izpildi no pagaidu mapēm vai neparastām direktorijām. Lai gan aizmugures durvis un QUIC RAT mēģina darboties slepeni, daudzos gadījumos tās atstāj nelielas norādes, kuras ar pienācīgu uzraudzību var atklāt.

DAEMON Tools fiasko parāda, ka vairs nepietiek tikai koncentrēties uz instalētāja izcelsmi . Digitālo parakstu validācija joprojām ir svarīga, taču ir kļuvis svarīgi papildināt šo kontroli ar papildu drošības slāņiem: uzvedības analīzi, iekšējiem baltajiem sarakstiem, tīkla segmentāciju un stingrām politikām par to, kādu programmatūru var izvietot katrā vidē, tostarp drošas virtualizācijas praksi.

Pašreizējā apdraudējumu ainavā uzbrukums DAEMON Tools ir kļuvis par mācību grāmatas piemēru tam, kā likumīgu, labi izveidotu programmatūru var izmantot kā Trojas zirgu, lai masveidā kompromitētu sistēmas un vienlaikus veiktu ļoti mērķtiecīgas operācijas pret nelielu augstas vērtības upuru grupu. Ikdienas lietotājiem mācība ir skaidra: ieteicams rūpīgi pārbaudīt jebkuru nesen instalētu programmu, nekavējoties to atjaunināt un saglabāt modrību pat tad, ja programmatūra teorētiski nāk no visoficiālākā iespējamā avota.