Mga Tool ng DAEMON na nahawaan ng malware: ano ang nangyari at kung paano protektahan ang iyong sarili

Informatec Digital » Kayamanan » Mga Tool ng DAEMON na nahawaan ng malware: ano ang nangyari at kung paano protektahan ang iyong sarili

Nakakagulat ang balitang ito: ang mga opisyal na bersyon ng DAEMON Tools Lite ay namamahagi ng malware sa libu-libong computer sa mahigit isang daang bansa sa pamamagitan ng isang pag-atake sa supply chain na lubos na ikinagulat ng mga user at kumpanya. Hindi natin pinag-uusapan ang mga pirated na kopya o mga scam na website, kundi mga installer na direktang na-download mula sa lehitimong site ng developer, digital na nilagdaan at, tila, ganap na lehitimo.

Ang insidenteng ito ay partikular na nakababahala dahil kinasasangkutan nito ang isang matagal nang itinatag at lubos na sikat na tool. Ang DAEMON Tools ay isang nangungunang software para sa pag-mount ng mga ISO image at paglikha ng mga virtual drive sa loob ng mahigit 15 taon , na ipinagmamalaki ang milyun-milyong buwanang gumagamit mula sa parehong mga indibidwal at organisasyon. Ang katotohanan na ang naturang kilalang software ay ginamit bilang isang sasakyan para sa isang backdoor at isang Trojan na nagnanakaw ng data ay nagpapakita kung gaano kalawak ang mga pag-atake sa supply chain ay naging isa sa mga pinakamalaking hamon sa modernong cybersecurity.

Ano nga ba ang nangyari sa DAEMON Tools?

Natuklasan ng mga mananaliksik ng Kaspersky ang isang malawakang kampanya kung saan binago ang mga lehitimong installer ng DAEMON Tools Lite upang maisama ang isang malisyosong payload. Iniulat na nagsimula ang pag-atake noong Abril 8, 2026, at nagpapatuloy pa rin nang lumabas ang mga unang ulat, na nagpapahiwatig na nagawang nanatiling hindi natunton ng mga umaatake sa loob ng ilang linggo.

Kaugnay na artikulo:

Podman, KVM at mga lalagyan: isang praktikal na gabay para sa secure na virtualization

Sa kasong ito, walang pekeng website o pirated na kopya ng programa ang ginamit . Ang mga Trojanized na file ay naka-host sa sariling distribution infrastructure ng DAEMON Tools at nilagdaan gamit ang isang valid digital certificate mula sa AVB Disc Soft, ang kumpanyang responsable sa pagbuo ng software. Para sa sinumang user, at para sa maraming security system, ang mga installer na ito ay tila lubos na mapagkakatiwalaan.

Ayon sa mga nailathalang pagsusuri, ito ay isang maingat na pinlanong pag-atake sa supply chain kung saan nagawa ng mga kriminal na magpasok ng malisyosong code sa ilang executable na kasama sa mga nakompromisong bersyon ng programa. Ang mga binagong binary na ito ay awtomatikong tumatakbo sa pagsisimula ng system, na nagtatatag ng tahimik na komunikasyon sa mga command at control server na nasa ilalim ng kontrol ng mga attacker.

Ang kampanya ay nagresulta sa libu-libong pagtatangkang mahawa sa mahigit 100 bansa . Karamihan sa mga biktima ay mga gumagamit sa bahay, ngunit humigit-kumulang 10% ng mga malisyosong instalasyon ay natukoy sa mga sistemang pagmamay-ari ng mga organisasyon. Kabilang dito ang mga sektor na may mataas na halaga tulad ng pampublikong administrasyon, siyentipikong pananaliksik, pagmamanupaktura, at tingian.

Ang pag-atake ay hindi lamang tungkol sa walang pinipiling impeksyon ; ito ay naka-target sa mga partikular na indibidwal. Ang unang yugto ay nagsilbing pansala, na nangangalap ng datos ng sistema, at batay sa impormasyong iyon, nagpasya ang mga umaatake kung sulit bang maglagay ng mas sopistikadong ikalawang yugto na may mga advanced na kakayahan sa paniniktik at remote control.

Mga apektadong bersyon at mga nakompromisong bahagi

Sumasang-ayon ang mga ulat na ang problema ay limitado sa isang partikular na hanay ng mga bersyon ng DAEMON Tools Lite. Ang mga apektadong bersyon ng software ay nasa pagitan ng 12.5.0.2421 at 12.5.0.2434, kasama na. Sinumang nag-install ng isa sa mga build na ito, lalo na pagkatapos ng Abril 8, 2026, ay dapat magkaroon ng kamalayan sa isang tunay na panganib ng kompromiso.

Sa loob ng saklaw na iyon, binago ng mga umaatake ang tatlong pangunahing executable ng programa , na naka-install sa root directory ng DAEMON Tools at awtomatikong nilo-load kasama ng system o ng software mismo. Ang mga binary na natukoy bilang malisyoso ay:

• DTHelper.exe
• DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Ang mga Trojanized executable na ito ay gumana bilang mga loader: sa pagsisimula, nagtatag sila ng koneksyon sa isang domain na kontrolado ng mga attacker at nagawang isagawa ang mga command sa pamamagitan ng cmd.exe upang mag-download at maglunsad ng iba pang mga piraso ng malware. Binabanggit sa mga teknikal na pagsusuri, halimbawa, ang paggamit ng mga file tulad ng envchk.exe , cdg.exe , at cdg.tmp , na gumana bilang mga karagdagang bahagi sa loob ng infection chain.

Ang telemetry na nakolekta ng mga solusyon sa seguridad ay nagbigay-daan upang maiugnay ang aktibidad na ito sa isang naka-target na pandaigdigang operasyon . Bagama't mataas ang dami ng mga pagtatangka sa impeksyon, ang ikalawang yugto ay ipinatupad laban sa napakaliit na bilang ng mga maingat na piniling biktima, na nagpapatibay sa ideya na hindi lamang ito isang malawakang kampanya, kundi isang naka-target na pag-atake laban sa mga entity na may sensitibong impormasyon o kritikal na imprastraktura.

Upang mapigilan ang insidente, inilabas ng AVB Disc Soft ang bersyon 12.6.0.2445 ng DAEMON Tools Lite , na na-verify bilang malinis ng iba't ibang kompanya ng seguridad. Inaalis ng update na ito ang mga nakompromisong executable at nagpapakilala ng mga lehitimong bahagi nang walang malisyosong code, kaya ito na lamang ang ligtas na bersyon para sa mga kailangang magpatuloy sa paggamit ng programa.

Paano gumagana ang pag-atake: mula una hanggang ikalawang yugto

Ang pag-uugali ng malware na nauugnay sa DAEMON Tools ay sumusunod sa isang tipikal na two-phase attack pattern , na karaniwan sa mga naka-target na operasyon. Una, isang magaan na reconnaissance component ang inilalagay, at sa ilang mga kaso lamang mas kumplikadong mga tool ang inilalagay upang kontrolin ang sistema.

Sa unang yugto, ang malisyosong code na naka-embed sa mga binagong binary ay patuloy na tumatakbo sa tuwing magsisimula ang Windows. Mula sa puntong iyon, ang nakompromisong computer ay nagpapadala ng isang kahilingan sa isang command and control server gamit ang isang domain na tila lehitimo, tulad ng env-check.daemontools.cc, upang makatanggap ng mga karagdagang tagubilin.

Ang "unang kurso" ng pag-atake ay isang pangunahing modyul sa pangangalap ng impormasyon . Kinukuha at ipinapadala ng bahaging ito ang datos ng mga umaatake tulad ng MAC address, hostname, DNS domain, listahan ng mga tumatakbong proseso, naka-install na software, at mga setting ng rehiyon at wika ng sistema. Gamit ang lahat ng impormasyong ito, lumilikha ang mga cybercriminal ng detalyadong profile ng nahawaang makina.

Sa karamihan ng mga natukoy na impeksyon, ang sitwasyon ay hindi lumampas sa paunang antas ng paniniktik . Ang mga sistema ay nakatanggap lamang ng data collector, nang walang anumang mas makapangyarihang mga module na na-download. Gayunpaman, ito ay isang seryosong panghihimasok dahil pinapayagan nito ang mga umaatake na matukoy ang mga kapaligiran na kaakit-akit na target para sa mga kasunod na pag-atake at maglabas ng potensyal na sensitibong impormasyon tungkol sa imprastraktura ng biktima.

Sa isang napakaliit na subset ng mga kaso, na kadalasang nauugnay sa mga ahensya ng gobyerno, mga sentro ng pananaliksik, at mga kumpanyang pang-industriya at tingian sa mga bansang tulad ng Russia, Belarus, o Thailand, tumugon ang command server sa pamamagitan ng pagpapadala ng pangalawang payload: isang minimalist na backdoor na may mas advanced na mga kakayahan sa remote control.

Ang pangalawang yugtong backdoor na ito ay maaaring mag-download at magpatupad ng mga bagong payload, maglunsad ng mga utos ng shell, at magpatakbo ng code nang direkta sa memorya nang halos walang bakas sa disk, na nagpapahirap sa pag-detect. Mula roon, ang sistema ay nasa awa ng mga umaatake, na maaaring lumipat sa ibang mga makina, mag-exfiltrate ng mga dokumento, o mag-deploy ng mga karagdagang tool sa espionage.

Sa mga pinakamatinding kaso, naobserbahan ang pag-deploy ng isang implant na tinatawag na QUIC RAT . Sinusuportahan ng remote access Trojan na ito ang iba't ibang protocol ng komunikasyon gamit ang command and control server at may kakayahang mag-inject ng malisyosong code sa mga lehitimong proseso tulad ng notepad.exe o conhost.exe. Ang ganitong uri ng pamamaraan ng pag-inject ay nakakatulong upang itago ang malisyosong aktibidad sa mga pinagkakatiwalaang proseso ng operating system.

Magnitude ng insidente at mga bansang apektado

Ang datos na nakalap sa ngayon ay nagpapakita ng isang malawakang pag-atake, ngunit may lubos na mapiling paggamit ng mga pinakanakakapinsalang kakayahan . Simula noong unang bahagi ng Abril, ilang libong pagtatangka ang naitala upang mag-install ng mga karagdagang malisyosong payload sa pamamagitan ng mga nakompromisong installer ng DAEMON Tools Lite.

Karamihan sa mga apektadong computer ay pagmamay-ari ng mga gumagamit sa bahay, na makatuwiran naman dahil ang DAEMON Tools ay ginagamit na sa loob ng maraming taon bilang karaniwang tool para sa pag-mount ng mga ISO image at paggawa ng mga virtual na CD, DVD, o Blu-ray drive. Ang epekto ay kumalat sa humigit-kumulang isang daang bansa at teritoryo, na may partikular na mataas na konsentrasyon ng mga biktima sa Russia, Brazil, Turkey, Spain, Germany, France, Italy, at China.

Gayunpaman, binibigyang-diin ng mga mananaliksik na isang dosenang device lamang ang napili para sa ikalawang yugto ng pag-atake , kung saan ginamit ang magaan na backdoor at ang QUIC-based na RAT. Kabilang dito ang mga sistemang pagmamay-ari ng mga ahensya ng gobyerno, mga institusyong pang-agham, mga kumpanya ng pagmamanupaktura, at imprastraktura ng tingian, na mas naaayon sa isang naka-target na operasyon kaysa sa isang simple, oportunistikong, at malawakang pag-atake.

Ipinahihiwatig ng pattern na ito na ginamit ng mga umaatake ang DAEMON Tools bilang isang malawak na entry point , ngunit ang tunay na layunin ay upang maniktik o ikompromiso ang mga partikular na network na may mataas na strategic value. Ang mga natitirang biktima ay higit na nagsilbing background noise at panangga upang mas maitago ang aktibidad na nakadirekta sa mga prayoridad na target na iyon.

Isa pang kapansin-pansing detalye ay ang pagkakaroon ng mga bahagi ng malware na nakasulat sa wikang Tsino . Iminumungkahi ng ilang analyst na maaaring ipahiwatig nito ang posibleng pinagmulan ng mga developer ng pag-atake, bagama't posible rin na ito ay isang taktikang panglihis upang ilihis ang atensyon sa mga partikular na bansa o grupo at gawing kumplikado ang pagpapatungkol.

Mula sa pananaw ng karaniwang gumagamit, ang pinakamalaking problema ay ang buong pag-atakeng ito ay umaasa sa napakalaking tiwala na nabuo ng ganitong laganap na software . Milyun-milyong tao ang nag-akala sa loob ng maraming taon na kung ida-download nila ang installer mula sa opisyal na website at mayroon itong wastong digital signature, walang dapat ipag-alala. Ipinapakita ng kasong ito na kahit ang mga palatandaang ito ng tiwala ay hindi tiyak.

Ang DAEMON Tools, isang klasikong nakatuon sa kalakasan nito

Upang maunawaan ang saklaw ng problema, mahalagang tandaan na ang DAEMON Tools ay hindi isang maliit na aplikasyon , kundi isang kilalang tool sa ecosystem ng Windows. Sa loob ng mga dekada, ginagamit ito upang mag-mount ng mga disk image sa mga format tulad ng ISO, IMG, UDF, BIN, at NRG, na naglalaman ng kumpletong istruktura ng mga CD, DVD, at maging ng mga hard drive at SSD.

Noong ginintuang panahon ng optical media, ang DAEMON Tools ay halos naging isang de facto na pamantayan para sa mga nangangailangang gumamit ng mga disk image araw-araw. Bagama't mayroon nang mas magaan o open-source na alternatibo ngayon—tulad ng WinCDEmu sa Windows environment—ang programa ay mayroon pa ring malaking base ng gumagamit, kapwa sa tahanan at mga kapaligirang pangnegosyo.

Ipinapahiwatig ng mga developer ng utility na ang software ay nagpapanatili ng mahigit tatlong milyong buwanang gumagamit , isang bilang na nagpapaliwanag kung bakit ang isang kampanya ng ganitong uri ay mabilis na nakakaabot sa libu-libong computer sa buong mundo. Kung mas mataas ang popularidad ng isang tool, mas kaakit-akit ito para sa mga umaatake na pasukin ang kadena ng pamamahagi nito.

Sa kontekstong ito, ang katotohanan na ang lahat ng malisyosong installer ay nilagdaan gamit ang isang wastong sertipiko ay lalong nakababahala. Sa maraming mga kaso, ang parehong mga gumagamit at mga platform ng seguridad mismo ay itinuturing ang digital na lagda bilang isang tagapagpahiwatig ng pagiging tunay, sa pag-aakalang ang binary file ay hindi napakialaman. Gayunpaman, dito, nagawa ng mga umaatake na maipasok ang kanilang code bago pa man makuha ang lagda o muling gamitin ang lehitimong imprastraktura ng pagpirma ng kumpanya.

Ang insidente ng DAEMON Tools ay nakadaragdag sa lumalaking listahan ng mga pag-atake sa supply chain ng software na natukoy simula noong simula ng taon. Binanggit sa mga ulat ng seguridad ang mga katulad na kaso na nakakaapekto sa mga solusyon tulad ng eScan noong Enero, Notepad++ noong Pebrero, at CPU-Z noong Abril, na nagpapakita ng isang malinaw na trend: sa halip na direktang i-target ang mga indibidwal na gumagamit, mas gusto ng mga cybercriminal na ikompromiso ang isang sentral na link at hayaan ang distribusyon ng software mismo ang gumawa ng iba pa.

Mga partikular na panganib para sa mga gumagamit at organisasyon

Higit pa sa hype ng media, ang tunay na mahalaga ay kung ano ang maaaring mangyari sa isang computer kung saan naka-install ang isang nahawaang bersyon ng DAEMON Tools . Ang mga panganib ay nag-iiba depende sa kung gaano na kalayo ang pag-unlad ng kadena ng impeksyon, ngunit kahit na sa mga hindi gaanong malala na sitwasyon, malaki pa rin ang epekto.

Sa unang yugto, ang pangunahing epekto ay ang tahimik na pagnanakaw ng impormasyon ng sistema . Ang mga datos tulad ng MAC address, hostname, locale, o listahan ng naka-install na software ay maaaring mukhang walang halaga, ngunit sa mga kamay ng isang umaatake, pinapayagan nila silang i-profile ang network, tukuyin ang mga mahinang bersyon ng ibang mga programa, at maghanda ng mas sopistikadong mga kasunod na pag-atake.

Kung ang sistema ay pipiliin para sa ikalawang yugto, ang panganib ay tataas nang malaki. Ang magaan na backdoor ay nagbibigay-daan para sa pagpapatupad ng mga remote command at pag-download ng mga karagdagang file , na nagbubukas ng pinto sa napakaraming banta: mula sa pagnanakaw ng mga kredensyal at sensitibong dokumento hanggang sa pag-install ng ransomware o ang paggamit ng computer bilang entry point upang ikompromiso ang buong corporate network.

Sa pag-deploy ng QUIC RAT, halos kumpletong remote access ang makukuha ng mga attacker sa device . Maaari silang magpasok ng code sa mga lehitimong proseso, lumampas sa ilang kontrol sa seguridad, gumalaw nang pahalang sa network, at mapanatili ang persistence sa mahabang panahon nang hindi nagdudulot ng hinala. Sa kamay ng isang mahusay na aktor, ang ganitong uri ng tool ay perpekto para sa mga kampanya ng industrial espionage o para sa pagkakaroon ng matagalang access sa kritikal na imprastraktura.

Sa mga organisasyong may mahigpit na mga kinakailangan sa seguridad, ang panghihimasok sa mga karaniwang software tulad ng DAEMON Tools ay partikular na problematiko. Maraming kapaligiran sa trabaho ang nagpapalagay na ang mga kilalang utility na may digital sign ay ligtas bilang default, kaya ang pagsubaybay sa kanilang pag-uugali ay maaaring maging mas maluwag kaysa sa mga hindi kilala o kamakailan lamang inilabas na tool.

Bukod pa rito, sinisira ng ganitong uri ng insidente ang pangkalahatang tiwala sa kadena ng pamamahagi ng software . Kung ang isang nilagdaang opisyal na installer ay hindi na sapat na garantiya, mapipilitan ang mga kumpanya na palakasin ang kanilang panloob na proseso ng pagpapatunay, pagsubaybay, at maagang pagtugon, na nangangailangan ng karagdagang pamumuhunan ng oras at mga mapagkukunan.

Paano malalaman kung ikaw ay mahina at kung ano ang gagawin kung gumagamit ka ng DAEMON Tools

Sa ganitong sitwasyon, ang unang lohikal na tanong ay malinaw: Mayroon ba akong naka-install na apektadong bersyon sa aking computer? Ang pangunahing pagsusuri ay kinabibilangan ng pagsusuri sa numero ng bersyon ng DAEMON Tools Lite. Kung ito ay nasa pagitan ng 12.5.0.2421 at 12.5.0.2434, at na-install o na-update noong o pagkatapos ng Abril 8, 2026, mayroong sapat na dahilan para mag-alala.

Upang mabawasan ang mga panganib, inirerekomenda ng mga eksperto ang isang serye ng mga malinaw na hakbang. Una, agad na i-uninstall ang anumang Lite na bersyon sa loob ng nakompromisong saklaw at, kung nais mong ipagpatuloy ang paggamit ng application, lumipat sa bersyon 12.6.0.2445 o mas mataas, na nakumpirma na walang nakitang mga malisyosong pagbabago.

Susunod, mahalagang magsagawa ng masusing pagsusuri ng sistema gamit ang isang mapagkakatiwalaang solusyon sa seguridad . Ang mga nangungunang security suite ay mayroon nang mga partikular na pagtukoy para sa mga minanipulang binary at payload na nauugnay sa kampanyang ito, kaya ang isang buong pag-scan ay makakatulong na mahanap ang mga bakas ng malware, kahit na naalis na ang mga orihinal na installer.

Sa mga korporasyon, dapat maging mas mahigpit ang mga hakbang. Dapat ihiwalay ng mga organisasyon ang mga endpoint kung saan natukoy ang DAEMON Tools bilang nakompromiso , suriin ang mga log para sa mga maanomalyang aktibidad simula noong unang bahagi ng Abril, at beripikahin ang integridad ng mga nilagdaang executable sa kanilang mga system. Inirerekomenda rin ang pagsubaybay sa trapiko ng network para sa mga koneksyon sa mga kahina-hinalang domain na nauugnay sa kampanya.

Panghuli, kapwa sa bahay at sa trabaho, ipinapayong maingat na suriin ang anumang kakaiba o kamakailang idinagdag na mga proseso , pati na rin ang anumang hindi pangkaraniwang pagpapatupad mula sa mga pansamantalang folder o hindi pangkaraniwang mga direktoryo. Bagama't sinusubukan ng mga backdoor at QUIC RAT na gumana nang palihim, sa maraming pagkakataon ay nag-iiwan ang mga ito ng maliliit na pahiwatig na, sa pamamagitan ng wastong pagsubaybay, ay maaaring matuklasan.

Ipinapakita ng pagkabigo ng DAEMON Tools na hindi na sapat ang pagtutuon lamang sa pinagmulan ng installer . Mahalaga pa rin ang pag-validate ng mga digital signature, ngunit naging mahalaga na dagdagan ang kontrol na ito ng mga karagdagang patong ng seguridad: behavioral analysis, internal whitelists, network segmentation, at mahigpit na mga patakaran sa kung anong software ang maaaring i-deploy sa bawat kapaligiran, kabilang ang mga secure virtualization practices.

Sa kasalukuyang kalagayan ng banta, ang pag-atake sa DAEMON Tools ay naging isang aklat-aralin na halimbawa kung paano magagamit ang lehitimo at mahusay na itinatag na software bilang isang Trojan horse upang ikompromiso ang mga sistema nang maramihan at, kasabay nito, magsagawa ng mga operasyon na lubos na naka-target laban sa isang maliit na grupo ng mga biktima na may mataas na kahalagahan. Para sa mga pang-araw-araw na gumagamit, malinaw ang aral: ipinapayong maingat na suriin ang anumang kamakailang pag-install ng programa, i-update kaagad, at manatiling mapagmatyag kahit na ang software ay teoretikal na nagmula sa pinaka-opisyal na mapagkukunan hangga't maaari.