DAEMON Tools заражен злонамерним софтвером: шта се догодило и како се заштитити

Информатек Дигитал » Средства » DAEMON Tools заражен злонамерним софтвером: шта се догодило и како се заштитити

Вест је шокирала: званичне верзије програма DAEMON Tools Lite дистрибуирале су злонамерни софтвер на хиљаде рачунара у преко стотину земаља путем напада у ланцу снабдевања који је потпуно изненадио кориснике и компаније. Не говоримо о пиратским копијама или преварним веб-сајтовима, већ о инсталатерима преузетим директно са легитимног сајта програмера, дигитално потписаним и, наизглед, потпуно легитимним.

Овај инцидент је посебно забрињавајући јер је у питању дугогодишњи и веома популаран алат. DAEMON Tools је водећи софтвер за монтирање ISO слика и креирање виртуелних дискова већ преко 15 година , са милионима месечних корисника, како појединаца тако и организација. Чињеница да је тако познати софтвер коришћен као средство за бекдор и тројанца за крађу података показује у којој мери су напади на ланац снабдевања постали један од највећих изазова у модерној сајбер безбедности.

Шта се тачно десило са DAEMON Tools-ом?

Истраживачи компаније Касперски открили су широко распрострањену кампању у којој су легитимни инсталатери DAEMON Tools Lite модификовани како би укључили злонамерни садржај. Напад је наводно почео 8. априла 2026. године и још увек је трајао када су се појавили први извештаји, што указује да су нападачи успели да остану неоткривени неколико недеља.

Повезани чланак:

Подман, КВМ и контејнери: практични водич за безбедну виртуелизацију

У овом случају, нису коришћене лажне веб странице или пиратске копије програма . Тројанизоване датотеке су биле смештене на сопственој дистрибутивној инфраструктури компаније DAEMON Tools и потписане су важећим дигиталним сертификатом од AVB Disc Soft, компаније одговорне за развој софтвера. Сваком кориснику, и многим безбедносним системима, ови инсталатери су деловали потпуно поуздано.

Према објављеним анализама, ово је био пажљиво планирани напад на ланац снабдевања у којем су криминалци успели да убризгају злонамерни код у неколико извршних датотека укључених у компромитоване верзије програма. Ове модификоване бинарне датотеке су се аутоматски покретале при покретању система, успостављајући тиху комуникацију са командним и контролним серверима под контролом нападача.

Кампања је резултирала хиљадама покушаја инфекције у преко 100 земаља . Већина жртава били су кућни корисници, али приближно 10% злонамерних инсталација је откривено на системима који припадају организацијама. То је укључивало секторе високе вредности као што су јавна управа, научна истраживања, производња и малопродаја.

Напад није био само због неселективне инфекције ; био је усмерен на одређене појединце. Прва фаза је деловала као филтер, прикупљајући системске податке, и на основу тих информација, нападачи су одлучивали да ли се исплати применити много софистициранију другу фазу са напредним могућностима шпијунаже и даљинског управљања.

Погођене верзије и угрожене компоненте

Извештаји се слажу да је проблем ограничен на одређени опсег верзија програма DAEMON Tools Lite. Погођене верзије софтвера су између 12.5.0.2421 и 12.5.0.2434, укључујући и те верзије. Свако ко је инсталирао једну од ових верзија, посебно после 8. априла 2026. године, требало би да буде свестан стварног ризика од угрожавања.

У том опсегу, нападачи су изменили три кључна извршна фајла програма , који су инсталирани у коренском директоријуму програма DAEMON Tools и аутоматски се учитавају са системом или самим софтвером. Бинарни фајлови идентификовани као злонамерни су:

• DTHelper.exe
• Датотека DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Ови тројанизовани извршни фајлови су се понашали као програми за учитавање: приликом покретања, успостављали су везу са доменом који контролишу нападачи и били су у могућности да извршавају команде путем cmd.exe за преузимање и покретање других малвера. Техничке анализе помињу, на пример, употребу датотека као што су envchk.exe , cdg.exe и cdg.tmp , које су функционисале као додатне компоненте у ланцу инфекције.

Телеметрија коју су прикупила безбедносна решења омогућила је да се ова активност повеже са циљаном глобалном операцијом . Иако је обим покушаја инфекције био велики, друга фаза је примењена против веома малог броја пажљиво одабраних жртава, појачавајући идеју да ово није била само масовна кампања, већ циљани напад на ентитете са осетљивим информацијама или критичном инфраструктуром.

Да би обуздао инцидент, AVB Disc Soft је објавио верзију 12.6.0.2445 програма DAEMON Tools Lite , коју су разне безбедносне фирме потврдиле као чисту. Ово ажурирање уклања угрожене извршне датотеке и уводи легитимне компоненте без злонамерног кода, што га тренутно чини једином безбедном верзијом за оне којима је потребно да наставе да користе програм.

Како напад функционише: од прве до друге фазе

Понашање злонамерног софтвера повезаног са DAEMON Tools прати типичан образац двофазног напада , веома чест у циљаним операцијама. Прво, распоређује се лагана компонента за извиђање, а само у одређеним случајевима се примењују сложенији алати за преузимање контроле над системом.

У првој фази, злонамерни код уграђен у модификоване бинарне датотеке стално се покреће сваки пут када се Windows покрене. Од тог тренутка, угрожени рачунар шаље захтев командном и контролном серверу користећи домен који делује легитимно, као што је env-check.daemontools.cc, како би добио даља упутства.

„Први корак“ напада је основни модул за прикупљање информација . Ова компонента издваја и шаље нападачима податке као што су MAC адреса, име хоста, DNS домен, листа покренутих процеса, инсталирани софтвер и регионална и језичка подешавања система. Са свим овим информацијама, сајбер криминалци креирају детаљан профил заражене машине.

У већини откривених инфекција, ситуација није напредовала даље од овог почетног нивоа шпијунаже . Системи су примали само колектор података, без преузимања моћнијих модула. Упркос томе, то је озбиљан упад јер омогућава нападачима да идентификују окружења која су атрактивне мете за наредне нападе и да процуре потенцијално осетљиве информације о инфраструктури жртве.

У веома малом броју случајева, углавном повезаних са владиним агенцијама, истраживачким центрима и индустријским и малопродајним компанијама у земљама попут Русије, Белорусије или Тајланда, командни сервер је одговорио слањем другог корисног терета: минималистичког задњег врата са много напреднијим могућностима даљинског управљања.

Овај други ниво бекдора може да преузима и извршава нове корисне податке, покреће команде шкољке и покреће код директно у меморији практично без трага на диску, што изузетно отежава откривање. Одатле је систем на милости и немилости нападача, који могу да се пребаце на друге машине, украду документе или примене додатне алате за шпијунажу.

У најкритичнијим случајевима, примећено је постављање имплантата под називом QUIC RAT . Овај тројански коњ за даљински приступ подржава различите протоколе комуникације са командним и контролним сервером и способан је да убризгава злонамерни код у легитимне процесе као што су notepad.exe или conhost.exe. Ова врста технике убризгавања помаже у камуфлацији злонамерне активности међу поузданим процесима оперативног система.

Обим инцидента и погођене земље

До сада прикупљени подаци показују напад великих размера, али са веома селективним коришћењем најштетнијих могућности . Од почетка априла забележено је неколико хиљада покушаја инсталирања додатних злонамерних садржаја путем компромитованих инсталера DAEMON Tools Lite.

Већина погођених рачунара припада кућним корисницима, што је логично с обзиром на то да се DAEMON Tools годинама користи као стандардни алат за монтирање ISO слика и креирање виртуелних CD, DVD или Blu-ray уређаја. Утицај је раширен на приближно стотину земаља и територија, са посебно високом концентрацијом жртава у Русији, Бразилу, Турској, Шпанији, Немачкој, Француској, Италији и Кини.

Међутим, истраживачи наглашавају да је за другу фазу напада , у којој су коришћени лагани бекдор и RAT базиран на QUIC-у, одабрано само десетак уређаја. То је укључивало системе који припадају владиним агенцијама, научним институцијама, производним компанијама и малопродајној инфраструктури, што је више у складу са циљаном операцијом него са једноставним, опортунистичким, масовним нападом.

Овај образац сугерише да су нападачи користили DAEMON Tools као широку улазну тачку , али да је прави циљ био шпијунирање или компромитовање одређених мрежа од високог стратешког значаја. Преостале жртве су углавном служиле као позадинска бука и параван како би боље прикриле активности усмерене ка тим приоритетним циљевима.

Још један упечатљив детаљ је присуство компоненти злонамерног софтвера написаних на кинеском језику . Неки аналитичари сугеришу да би ово могло указивати на могуће порекло програмера напада, мада је такође сасвим могуће да је у питању тактика одвраћања пажње како би се скренула пажња на одређене земље или групе и закомпликовало приписивање.

Из перспективе просечног корисника, највећи проблем је то што се цео овај напад ослањао на огромно поверење које је генерисао тако широко распрострањен софтвер . Милиони људи годинама претпостављају да ако преузму инсталатер са званичне веб странице и он има важећи дигитални потпис, нема разлога за бригу. Овај случај показује да чак ни ови знаци поверења нису непогрешиви.

DAEMON Tools, посвећени класик у свом најбољем издању

Да бисмо разумели обим проблема, важно је запамтити да DAEMON Tools није маргинална апликација , већ добро успостављен алат у Windows екосистему. Деценијама се користи за монтирање слика дискова у форматима као што су ISO, IMG, UDF, BIN и NRG, који садрже комплетну структуру CD-ова, DVD-ова, па чак и чврстих дискова и SSD-ова.

Током златног доба оптичких медија, DAEMON Tools је постао практично де факто стандард за оне којима је потребно свакодневно да раде са сликама дискова. Иако данас постоје лакше или алтернативе отвореног кода — као што је WinCDEmu у Windows окружењу — програм и даље има огромну базу корисника, како у кућном тако и у пословном окружењу.

Програмери овог алата наводе да софтвер одржава више од три милиона корисника месечно , што објашњава зашто кампања овог типа може тако брзо допрети до хиљада рачунара широм света. Што је већа популарност алата, то је привлачније за нападаче да се инфилтрирају у његов дистрибутивни ланац.

У овом контексту, чињеница да су сви злонамерни инсталатери били потписани важећим сертификатом је посебно забрињавајућа. У многим случајевима, и корисници и саме безбедносне платформе узимају дигитални потпис као индикатор аутентичности, претпостављајући да бинарна датотека није измењена. Међутим, овде су нападачи успели да убаце свој код пре него што је потпис добијен или да поново користе легитимну инфраструктуру за потписивање компаније.

Инцидент са DAEMON Tools-ом додаје се на растућу листу напада на ланац снабдевања софтвером откривених од почетка године. Извештаји о безбедности помињу сличне случајеве који погађају решења попут eScan-а у јануару, Notepad++-а у фебруару и CPU-Z-а у априлу, истичући јасан тренд: уместо директног циљања појединачних корисника, сајбер криминалци више воле да компромитују централну везу и препусте дистрибуцији софтвера да сама уради остало.

Специфични ризици за кориснике и организације

Поред медијске помпе, оно што је заиста важно јесте шта се може догодити на рачунару на којем је инсталирана заражена верзија DAEMON Tools-а . Ризици варирају у зависности од тога колико је ланац инфекције напредовао, али чак и у мање озбиљним сценаријима, утицај је значајан.

У почетној фази, главни утицај је тиха крађа системских информација . Подаци као што су MAC адреса, име хоста, локалне поставке или листа инсталираног софтвера могу деловати безначајно, али у рукама нападача, они му омогућавају да профилише мрежу, идентификује рањиве верзије других програма и припреми много софистицираније накнадне нападе.

Ако је систем изабран за другу фазу, опасност се значајно повећава. Лагани задњи улаз омогућава извршавање удаљених команди и преузимање додатних датотека , отварајући врата целом низу претњи: од крађе акредитива и осетљивих докумената до инсталирања ransomware-а или коришћења рачунара као улазне тачке за компромитовање целе корпоративне мреже.

Применом QUIC RAT-а, нападачи добијају практично потпун даљински приступ уређају . Могу да убризгају код у легитимне процесе, заобиђу неке безбедносне контроле, крећу се бочно по мрежи и одржавају постојаност током дужег временског периода без изазивања сумње. У рукама добро опремљеног актера, ова врста алата је савршена за кампање индустријске шпијунаже или за добијање дужег приступа критичној инфраструктури.

У организацијама са строгим безбедносним захтевима, упад путем уобичајеног софтвера попут DAEMON Tools-а је посебно проблематичан. Многа радна окружења претпостављају да су широко познати, дигитално потписани услужни програми безбедни по подразумеваним подешавањима, тако да праћење њиховог понашања може бити лабавије него код непознатих или недавно објављених алата.

Штавише, ова врста инцидената нарушава опште поверење у ланац дистрибуције софтвера . Ако потписани званични инсталатер више није довољна гаранција, компаније су приморане да ојачају своје интерне процесе валидације, праћења и раног реаговања, што подразумева додатна улагања времена и ресурса.

Како знати да ли сте рањиви и шта да радите ако користите DAEMON Tools

У таквом сценарију, прво логично питање је очигледно: Да ли на рачунару имам инсталирану погођену верзију? Основна провера подразумева преглед броја верзије програма DAEMON Tools Lite. Ако се налази између 12.5.0.2421 и 12.5.0.2434 и ако је инсталиран или ажуриран 8. априла 2026. године или касније, постоји велики разлог за забринутост.

Да би се смањили ризици, стручњаци препоручују низ јасних корака. Прво, одмах деинсталирајте било коју Lite верзију унутар угроженог опсега и, ако желите да наставите да користите апликацију, пређите на верзију 12.6.0.2445 или новију, за коју је потврђено да не садржи откривене злонамерне модификације.

Затим, неопходно је извршити темељну анализу система користећи поуздано безбедносно решење . Водећи безбедносни пакети већ укључују специфичне детекције за манипулисане бинарне датотеке и корисне податке повезане са овом кампањом, тако да потпуно скенирање може помоћи у проналажењу трагова злонамерног софтвера, чак и ако су оригинални инсталатери уклоњени.

У корпоративним окружењима, мере морају бити још строже. Организације морају изоловати крајње тачке на којима је DAEMON Tools откривен као угрожен , прегледати логове за аномалне активности од почетка априла и проверити интегритет потписаних извршних датотека на својим системима. Такође се препоручује праћење мрежног саобраћаја за везе са сумњивим доменима повезаним са кампањом.

Коначно, и код куће и на послу, препоручљиво је пажљиво испитати све чудне или недавно додате процесе , као и свако необично извршавање из привремених фасцикли или неуобичајених директоријума. Иако задња врата и QUIC RAT-ови покушавају да делују прикривено, у многим случајевима остављају мале трагове који се, уз правилно праћење, могу открити.

Дебакл са DAEMON Tools-ом показује да само фокусирање на порекло инсталатера више није довољно . Валидација дигиталних потписа остаје важна, али је постало неопходно допунити ову контролу додатним слојевима безбедности: анализом понашања, интерним белим листама, сегментацијом мреже и строгим политикама о томе који софтвер може бити примењен у сваком окружењу, укључујући праксе безбедне виртуелизације.

У оквиру тренутног пејзажа претњи, напад на DAEMON Tools постао је школски пример како се легитиман, добро успостављен софтвер може користити као тројански коњ за масовно компромитовање система и, истовремено, извршавање високо циљаних операција против мале групе жртава високог ризика. За свакодневне кориснике, лекција је јасна: препоручљиво је темељно проверити сваку недавну инсталацију програма, одмах га ажурирати и остати опрезан чак и ако софтвер теоретски долази из најзваничнијег могућег извора.