Alat DAEMON yang dijangkiti perisian hasad: apa yang berlaku dan cara melindungi diri anda

Informatec Digital » Sumber » Alat DAEMON yang dijangkiti perisian hasad: apa yang berlaku dan cara melindungi diri anda

Berita ini mengejutkan: versi rasmi DAEMON Tools Lite telah mengedarkan perisian hasad kepada beribu-ribu komputer di lebih seratus negara melalui serangan rantaian bekalan yang telah mengejutkan pengguna dan syarikat. Kita bukan bercakap tentang salinan cetak rompak atau laman web penipuan, tetapi sebaliknya pemasang yang dimuat turun terus dari laman web sah pembangun, ditandatangani secara digital dan, nampaknya, sepenuhnya sah.

Insiden ini amat membimbangkan kerana ia melibatkan alat yang telah lama wujud dan sangat popular. DAEMON Tools telah menjadi perisian utama untuk memasang imej ISO dan mencipta pemacu maya selama lebih 15 tahun , dengan berjuta-juta pengguna bulanan daripada individu dan organisasi. Hakikat bahawa perisian terkenal sedemikian telah digunakan sebagai kenderaan untuk pintu belakang dan Trojan pencuri data menunjukkan sejauh mana serangan rantaian bekalan telah menjadi salah satu cabaran terbesar dalam keselamatan siber moden.

Apa sebenarnya yang berlaku kepada DAEMON Tools?

Penyelidik Kaspersky telah mendedahkan satu kempen meluas di mana pemasang DAEMON Tools Lite yang sah telah diubah suai untuk memasukkan muatan berniat jahat. Serangan itu dilaporkan bermula pada 8 April 2026, dan masih berterusan apabila laporan pertama muncul, menunjukkan bahawa penyerang berjaya kekal tidak dikesan selama beberapa minggu.

Artikel berkaitan:

Podman, KVM dan kontena: panduan praktikal untuk pengamanan virtualisasi

Dalam kes ini, tiada laman web palsu atau salinan cetak rompak program telah digunakan . Fail-fail yang ditrojankan telah dihoskan pada infrastruktur pengedaran DAEMON Tools sendiri dan telah ditandatangani dengan sijil digital yang sah daripada AVB Disc Soft, syarikat yang bertanggungjawab untuk membangunkan perisian tersebut. Bagi mana-mana pengguna, dan bagi banyak sistem keselamatan, pemasang ini kelihatan benar-benar boleh dipercayai.

Menurut analisis yang diterbitkan, ini merupakan serangan rantaian bekalan yang dirancang dengan teliti di mana penjenayah berjaya menyuntik kod berniat jahat ke dalam beberapa fail boleh laku yang termasuk dalam versi program yang dikompromi. Binari yang diubah suai ini berjalan secara automatik semasa sistem dimulakan, mewujudkan komunikasi senyap dengan pelayan arahan dan kawalan di bawah kawalan penyerang.

Kempen ini mengakibatkan beribu-ribu percubaan jangkitan di lebih 100 buah negara . Kebanyakan mangsa adalah pengguna rumah, tetapi kira-kira 10% daripada pemasangan berniat jahat dikesan pada sistem milik organisasi. Ini termasuk sektor bernilai tinggi seperti pentadbiran awam, penyelidikan saintifik, pembuatan dan peruncitan.

Serangan itu bukan sekadar jangkitan sembarangan ; ia disasarkan kepada individu tertentu. Fasa pertama bertindak sebagai penapis, mengumpul data sistem, dan berdasarkan maklumat tersebut, penyerang memutuskan sama ada berbaloi untuk menggunakan peringkat kedua yang jauh lebih canggih dengan keupayaan pengintipan dan kawalan jauh yang canggih.

Versi yang terjejas dan komponen yang terjejas

Laporan bersetuju bahawa masalah ini terhad kepada julat tertentu versi DAEMON Tools Lite. Versi perisian yang terjejas adalah antara 12.5.0.2421 dan 12.5.0.2434, termasuk semua versi. Sesiapa yang telah memasang salah satu binaan ini, terutamanya selepas 8 April 2026, harus sedar tentang risiko sebenar pencerobohan.

Dalam julat tersebut, penyerang telah mengubah suai tiga fail boleh laku program utama , yang dipasang dalam direktori root DAEMON Tools dan dimuatkan secara automatik dengan sistem atau perisian itu sendiri. Binari yang dikenal pasti sebagai berniat jahat ialah:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

File boleh laku yang ditrojankan ini bertindak sebagai pemuat: semasa permulaan, ia mewujudkan sambungan dengan domain yang dikawal oleh penyerang dan dapat melaksanakan arahan melalui cmd.exe untuk memuat turun dan melancarkan perisian hasad yang lain. Analisis teknikal menyebut, sebagai contoh, penggunaan fail seperti envchk.exe , cdg.exe dan cdg.tmp , yang berfungsi sebagai komponen tambahan dalam rantaian jangkitan.

Telemetri yang dikumpul oleh penyelesaian keselamatan membolehkan aktiviti ini dikaitkan dengan operasi global yang disasarkan . Walaupun jumlah percubaan jangkitan adalah tinggi, fasa kedua telah digunakan terhadap sebilangan kecil mangsa yang dipilih dengan teliti, mengukuhkan idea bahawa ini bukan sekadar kempen besar-besaran, tetapi serangan yang disasarkan terhadap entiti yang mempunyai maklumat sensitif atau infrastruktur kritikal.

Untuk membendung insiden tersebut, AVB Disc Soft telah mengeluarkan versi 12.6.0.2445 bagi DAEMON Tools Lite , yang telah disahkan bersih oleh pelbagai firma keselamatan. Kemas kini ini mengalih keluar fail boleh laku yang dikompromi dan memperkenalkan komponen sah tanpa kod berniat jahat, menjadikannya satu-satunya versi selamat buat mereka yang perlu terus menggunakan program ini.

Cara serangan itu berfungsi: dari fasa pertama hingga kedua

Kelakuan perisian hasad yang berkaitan dengan DAEMON Tools mengikuti corak serangan dua fasa yang biasa , sangat biasa dalam operasi yang disasarkan. Pertama, komponen peninjauan ringan digunakan, dan hanya dalam kes tertentu alat yang lebih kompleks digunakan untuk mengawal sistem.

Pada peringkat pertama, kod berniat jahat yang terbenam dalam binari yang diubah suai akan berjalan secara berterusan setiap kali Windows dimulakan. Mulai saat itu, komputer yang dikompromi menghantar permintaan kepada pelayan arahan dan kawalan menggunakan domain yang kelihatan sah, seperti env-check.daemontools.cc, untuk menerima arahan selanjutnya.

"Langkah pertama" serangan ini ialah modul pengumpulan maklumat asas . Komponen ini mengekstrak dan menghantar data penyerang seperti alamat MAC, nama hos, domain DNS, senarai proses yang berjalan, perisian yang dipasang dan tetapan serantau dan bahasa sistem. Dengan semua maklumat ini, penjenayah siber mencipta profil terperinci mesin yang dijangkiti.

Dalam kebanyakan jangkitan yang dikesan, situasi tidak berkembang melebihi tahap pengintipan awal ini . Sistem hanya menerima pengumpul data, tanpa sebarang modul yang lebih berkuasa dimuat turun. Walaupun begitu, ia merupakan pencerobohan yang serius kerana ia membolehkan penyerang mengenal pasti persekitaran yang menjadi sasaran menarik untuk serangan berikutnya dan membocorkan maklumat yang berpotensi sensitif tentang infrastruktur mangsa.

Dalam subset kes yang sangat kecil, kebanyakannya dikaitkan dengan agensi kerajaan, pusat penyelidikan dan syarikat perindustrian dan runcit di negara seperti Rusia, Belarus atau Thailand, pelayan arahan bertindak balas dengan menghantar muatan kedua: pintu belakang minimalis dengan keupayaan kawalan jauh yang jauh lebih canggih.

Pintu belakang peringkat kedua ini boleh memuat turun dan melaksanakan muatan baharu, melancarkan arahan shell dan menjalankan kod terus dalam memori tanpa sebarang jejak pada cakera, menjadikan pengesanan sangat sukar. Dari situ, sistem berada di bawah belas kasihan penyerang, yang boleh beralih ke mesin lain, mengeluarkan dokumen atau menggunakan alat pengintipan tambahan.

Dalam kes yang paling kritikal, penggunaan implan yang dipanggil QUIC RAT telah diperhatikan . Trojan akses jauh ini menyokong pelbagai protokol komunikasi dengan pelayan arahan dan kawalan dan mampu menyuntik kod berniat jahat ke dalam proses yang sah seperti notepad.exe atau conhost.exe. Teknik suntikan jenis ini membantu menyamarkan aktiviti berniat jahat di kalangan proses sistem pengendalian yang dipercayai.

Magnitud kejadian dan negara yang terjejas

Data yang dikumpul setakat ini menunjukkan serangan berskala besar, tetapi dengan penggunaan keupayaan yang paling merosakkan yang sangat selektif . Sejak awal April, beberapa ribu percubaan telah direkodkan untuk memasang muatan berniat jahat tambahan melalui pemasang DAEMON Tools Lite yang dikompromi.

Kebanyakan komputer yang terjejas adalah milik pengguna rumah, yang masuk akal memandangkan DAEMON Tools telah digunakan selama bertahun-tahun sebagai alat standard untuk memasang imej ISO dan mencipta pemacu CD, DVD atau Blu-ray maya. Kesannya tersebar di kira-kira seratus negara dan wilayah, dengan kepekatan mangsa yang sangat tinggi di Rusia, Brazil, Turki, Sepanyol, Jerman, Perancis, Itali dan China.

Walau bagaimanapun, para penyelidik menekankan bahawa hanya sedozen peranti dipilih untuk fasa kedua serangan tersebut , di mana pintu belakang ringan dan RAT berasaskan QUIC telah digunakan. Ini termasuk sistem milik agensi kerajaan, institusi saintifik, syarikat pembuatan dan infrastruktur runcit, yang lebih konsisten dengan operasi yang disasarkan daripada serangan besar-besaran yang mudah dan oportunistik.

Corak ini menunjukkan bahawa penyerang menggunakan DAEMON Tools sebagai titik masuk yang luas , tetapi objektif sebenar adalah untuk mengintip atau menjejaskan rangkaian tertentu yang bernilai strategik tinggi. Mangsa yang tinggal sebahagian besarnya berfungsi sebagai bunyi latar belakang dan perlindungan untuk menyembunyikan aktiviti yang ditujukan kepada sasaran keutamaan tersebut dengan lebih baik.

Satu lagi butiran menarik ialah kehadiran komponen perisian hasad yang ditulis dalam bahasa Cina . Sesetengah penganalisis mencadangkan ini mungkin menunjukkan kemungkinan asal usul bagi pembangun serangan itu, walaupun ada kemungkinan ia merupakan taktik pengalihan perhatian untuk mengalihkan perhatian kepada negara atau kumpulan tertentu dan merumitkan atribusi.

Dari perspektif pengguna biasa, masalah terbesar ialah keseluruhan serangan ini bergantung pada kepercayaan besar yang dijana oleh perisian yang begitu meluas . Berjuta-juta orang telah menganggap selama bertahun-tahun bahawa jika mereka memuat turun pemasang dari laman web rasmi dan ia mempunyai tandatangan digital yang sah, tiada apa yang perlu dirisaukan. Kes ini menunjukkan bahawa tanda-tanda kepercayaan ini pun tidaklah mudah.

DAEMON Tools, sebuah karya klasik yang komited pada zaman kegemilangannya

Untuk memahami skop masalah ini, adalah penting untuk diingat bahawa DAEMON Tools bukanlah aplikasi sampingan , tetapi sebaliknya merupakan alat yang mantap dalam ekosistem Windows. Selama beberapa dekad, ia telah digunakan untuk memasang imej cakera dalam format seperti ISO, IMG, UDF, BIN dan NRG, yang mengandungi struktur lengkap CD, DVD dan juga cakera keras dan SSD.

Semasa zaman kegemilangan media optik, DAEMON Tools boleh dikatakan sebagai standard de facto bagi mereka yang perlu bekerja dengan imej cakera setiap hari. Walaupun terdapat alternatif yang lebih ringan atau sumber terbuka hari ini—seperti WinCDEmu dalam persekitaran Windows—program ini masih mempunyai pangkalan pengguna yang besar, baik di rumah mahupun persekitaran perniagaan.

Pembangun utiliti tersebut menunjukkan bahawa perisian tersebut mengekalkan lebih daripada tiga juta pengguna bulanan , satu angka yang menjelaskan mengapa kempen jenis ini boleh menjangkau ribuan komputer di seluruh dunia dengan begitu cepat. Semakin populariti sesuatu alat, semakin menarik bagi penyerang untuk menyusup masuk ke rantaian pengedarannya.

Dalam konteks ini, hakikat bahawa semua pemasang berniat jahat telah ditandatangani dengan sijil yang sah amat membimbangkan. Dalam banyak kes, kedua-dua pengguna dan platform keselamatan sendiri menganggap tandatangan digital sebagai penunjuk kesahihan, dengan mengandaikan bahawa fail binari tidak diusik. Walau bagaimanapun, di sini, penyerang berjaya menyelitkan kod mereka sebelum tandatangan diperoleh atau menggunakan semula infrastruktur tandatangan syarikat yang sah.

Insiden DAEMON Tools menambah senarai serangan rantaian bekalan perisian yang semakin meningkat yang dikesan sejak awal tahun ini. Laporan keselamatan menyebut kes serupa yang menjejaskan penyelesaian seperti eScan pada bulan Januari, Notepad++ pada bulan Februari dan CPU-Z pada bulan April, menonjolkan trend yang jelas: daripada menyasarkan pengguna individu secara langsung, penjenayah siber lebih suka menjejaskan pautan pusat dan membiarkan pengedaran perisian itu sendiri melakukan selebihnya.

Risiko khusus untuk pengguna dan organisasi

Di luar gembar-gembur media, apa yang benar-benar penting ialah apa yang boleh berlaku pada komputer yang telah dipasang versi DAEMON Tools yang dijangkiti . Risikonya berbeza-beza bergantung pada sejauh mana rantaian jangkitan telah berkembang, tetapi walaupun dalam senario yang kurang teruk, kesannya adalah ketara.

Pada fasa awal, impak utamanya ialah kecurian maklumat sistem secara senyap . Data seperti alamat MAC, nama hos, lokasi atau senarai perisian yang dipasang mungkin kelihatan tidak penting, tetapi di tangan penyerang, ia membolehkan mereka membuat profil rangkaian, mengenal pasti versi program lain yang terdedah dan menyediakan serangan seterusnya yang jauh lebih canggih.

Jika sistem dipilih untuk fasa kedua, bahaya akan meningkat dengan ketara. Pintu belakang yang ringan membolehkan pelaksanaan arahan jauh dan memuat turun fail tambahan , membuka pintu kepada pelbagai ancaman: daripada kecurian kelayakan dan dokumen sensitif kepada pemasangan ransomware atau penggunaan komputer sebagai titik masuk untuk menjejaskan keseluruhan rangkaian korporat.

Dengan penggunaan QUIC RAT, penyerang mendapat akses jarak jauh yang hampir lengkap ke peranti tersebut . Mereka boleh menyuntik kod ke dalam proses yang sah, memintas beberapa kawalan keselamatan, bergerak secara lateral merentasi rangkaian dan mengekalkan kegigihan untuk tempoh yang lama tanpa menimbulkan syak wasangka. Di tangan pelaku yang mempunyai sumber yang mencukupi, alat jenis ini sesuai untuk kempen pengintipan perindustrian atau untuk mendapatkan akses berpanjangan kepada infrastruktur kritikal.

Dalam organisasi yang mempunyai keperluan keselamatan yang ketat, pencerobohan melalui perisian biasa seperti DAEMON Tools amat menyusahkan. Banyak persekitaran kerja menganggap bahawa utiliti yang diketahui umum dan ditandatangani secara digital adalah selamat secara lalai, jadi pemantauan tingkah laku mereka boleh menjadi lebih longgar berbanding dengan alat yang tidak diketahui atau yang baru dikeluarkan.

Tambahan pula, insiden jenis ini menghakis kepercayaan keseluruhan dalam rantaian pengedaran perisian . Jika pemasang rasmi yang ditandatangani tidak lagi menjadi jaminan yang mencukupi, syarikat terpaksa memperkukuh proses pengesahan, pemantauan dan tindak balas awal dalaman mereka, yang memerlukan pelaburan masa dan sumber tambahan.

Cara mengetahui sama ada anda terdedah dan apa yang perlu dilakukan jika anda menggunakan Alat DAEMON

Dalam senario sedemikian, soalan logik pertama adalah jelas: Adakah saya mempunyai versi yang terjejas yang dipasang pada komputer saya? Pemeriksaan asas melibatkan semakan nombor versi DAEMON Tools Lite. Jika ia berada di antara 12.5.0.2421 dan 12.5.0.2434, dan telah dipasang atau dikemas kini pada atau selepas 8 April 2026, terdapat banyak sebab untuk bimbang.

Untuk mengurangkan risiko, pakar mengesyorkan beberapa langkah yang jelas. Pertama, segera nyahpasang mana-mana versi Lite dalam julat yang terjejas dan, jika anda ingin terus menggunakan aplikasi tersebut, berhijrah ke versi 12.6.0.2445 atau lebih tinggi, yang telah disahkan bebas daripada pengubahsuaian berniat jahat yang dikesan.

Seterusnya, adalah penting untuk melakukan analisis sistem yang menyeluruh menggunakan penyelesaian keselamatan yang dipercayai . Suit keselamatan terkemuka sudah merangkumi pengesanan khusus untuk binari dan muatan yang dimanipulasi yang berkaitan dengan kempen ini, jadi imbasan penuh dapat membantu mencari jejak perisian hasad, walaupun pemasang asal telah dialih keluar.

Dalam persekitaran korporat, langkah-langkah tersebut mesti lebih ketat. Organisasi mesti mengasingkan titik akhir di mana DAEMON Tools telah dikesan sebagai telah dicerobohi , menyemak log untuk aktiviti anomali sejak awal April dan mengesahkan integriti fail boleh laku yang ditandatangani pada sistem mereka. Memantau trafik rangkaian untuk sambungan ke domain yang mencurigakan yang berkaitan dengan kempen juga disyorkan.

Akhir sekali, di rumah dan di tempat kerja, adalah dinasihatkan untuk memeriksa dengan teliti sebarang proses yang pelik atau baru ditambah , serta sebarang pelaksanaan luar biasa daripada folder sementara atau direktori yang luar biasa. Walaupun pintu belakang dan QUIC RAT cuba beroperasi secara senyap, dalam banyak kes ia meninggalkan petunjuk kecil yang, dengan pemantauan yang betul, boleh didedahkan.

Kegagalan DAEMON Tools menunjukkan bahawa hanya memberi tumpuan kepada asal pemasang tidak lagi mencukupi . Mengesahkan tandatangan digital kekal penting, tetapi ia menjadi penting untuk melengkapkan kawalan ini dengan lapisan keselamatan tambahan: analisis tingkah laku, senarai putih dalaman, segmentasi rangkaian dan dasar ketat tentang perisian yang boleh digunakan dalam setiap persekitaran, termasuk amalan virtualisasi yang selamat.

Dalam landskap ancaman semasa, serangan ke atas DAEMON Tools telah menjadi contoh buku teks tentang bagaimana perisian yang sah dan mantap boleh digunakan sebagai kuda Trojan untuk menjejaskan sistem secara beramai-ramai dan, pada masa yang sama, melaksanakan operasi yang sangat disasarkan terhadap sekumpulan kecil mangsa bernilai tinggi. Bagi pengguna harian, pengajarannya jelas: adalah dinasihatkan untuk menyemak dengan teliti sebarang pemasangan program baru-baru ini, mengemas kini dengan segera dan kekal berwaspada walaupun perisian tersebut secara teorinya datang daripada sumber yang paling rasmi.