DAEMON Tools заражений шкідливим програмним забезпеченням: що сталося та як захистити себе

Інформатек Діджитал » Ресурси » DAEMON Tools заражений шкідливим програмним забезпеченням: що сталося та як захистити себе

Ця новина стала шоком: офіційні версії DAEMON Tools Lite розповсюджували шкідливе програмне забезпечення на тисячі комп’ютерів у понад ста країнах через атаку через ланцюг поставок, яка застала користувачів та компанії зненацька. Йдеться не про піратські копії чи шахрайські веб-сайти, а про інсталятори, завантажені безпосередньо з легітимного сайту розробника, з цифровим підписом та, схоже, цілком легітимними.

Цей інцидент викликає особливе занепокоєння, оскільки він стосується давно зарекомендував себе та є дуже популярним інструментом. DAEMON Tools вже понад 15 років є провідним програмним забезпеченням для монтування ISO-образів та створення віртуальних дисків , маючи мільйони користувачів щомісяця як з числа окремих осіб, так і організацій. Той факт, що таке відоме програмне забезпечення використовувалося як засіб для бекдору та трояна, що краде дані, демонструє, наскільки атаки на ланцюги поставок стали однією з найбільших проблем сучасної кібербезпеки.

Що саме сталося з DAEMON Tools?

Дослідники Kaspersky виявили широкомасштабну кампанію, в якій легітимні інсталятори DAEMON Tools Lite були модифіковані для включення шкідливого корисного навантаження. Повідомляється, що атака розпочалася 8 квітня 2026 року і все ще тривала, коли з'явилися перші повідомлення, які свідчать про те, що зловмисникам вдавалося залишатися непоміченими протягом кількох тижнів.

Пов'язана стаття:

Podman, KVM та контейнери: практичний посібник з безпечної віртуалізації

У цьому випадку не використовувалися підроблені веб-сайти чи піратські копії програми . Троянські файли розміщувалися на власній дистрибутивній інфраструктурі DAEMON Tools та були підписані дійсним цифровим сертифікатом від AVB Disc Soft, компанії, відповідальної за розробку програмного забезпечення. Для будь-якого користувача та багатьох систем безпеки ці інсталятори здавалися цілком надійними.

Згідно з опублікованими аналізами, це була ретельно спланована атака на ланцюг поставок, під час якої злочинцям вдалося впровадити шкідливий код у кілька виконуваних файлів, що входили до скомпрометованих версій програми. Ці модифіковані бінарні файли запускалися автоматично під час запуску системи, встановлюючи непомітний зв'язок із серверами керування та управління, що перебували під контролем зловмисників.

Кампанія призвела до тисяч спроб зараження у понад 100 країнах . Більшість жертв були домашніми користувачами, але приблизно 10% шкідливих установок було виявлено на системах, що належать організаціям. До них належали такі цінні сектори, як державне управління, наукові дослідження, виробництво та роздрібна торгівля.

Атака не була просто спрямована на невибіркове зараження ; вона була спрямована на конкретних осіб. Перший етап діяв як фільтр, збираючи системні дані, і на основі цієї інформації зловмисники вирішували, чи варто розгортати набагато складніший другий етап із розширеними можливостями шпигунства та дистанційного керування.

Уражені версії та скомпрометовані компоненти

Звіти сходяться на думці, що проблема обмежена певним діапазоном версій DAEMON Tools Lite. Уражені версії програмного забезпечення знаходяться між 12.5.0.2421 та 12.5.0.2434 включно. Будь-хто, хто встановив одну з цих збірок, особливо після 8 квітня 2026 року, повинен знати про реальний ризик компрометації.

У цьому діапазоні зловмисники змінили три ключові виконувані файли програм , які встановлюються в кореневому каталозі DAEMON Tools і автоматично завантажуються разом із системою або самим програмним забезпеченням. Бінарні файли, ідентифіковані як шкідливі:

• DTHelper.exe
• Файл DiscSoftBusServiceLite.exe
• DTShellHlp.exe

Ці троянські виконувані файли діяли як завантажувачі: під час запуску вони встановлювали з'єднання з доменом, контрольованим зловмисниками , і могли виконувати команди через cmd.exe для завантаження та запуску інших шкідливих програм. Технічний аналіз згадує, наприклад, використання таких файлів, як envchk.exe , cdg.exe та cdg.tmp , які функціонували як додаткові компоненти в ланцюжку зараження.

Телеметрія, зібрана рішеннями безпеки, дозволила пов'язати цю активність із цілеспрямованою глобальною операцією . Хоча обсяг спроб зараження був високим, другий етап було розгорнуто проти дуже невеликої кількості ретельно відібраних жертв, що підкріплювало думку про те, що це була не просто масова кампанія, а цілеспрямована атака на організації з конфіденційною інформацією або критичною інфраструктурою.

Щоб стримати інцидент, AVB Disc Soft випустила версію 12.6.0.2445 програми DAEMON Tools Lite , яка була підтверджена різними фірмами з безпеки як безпечна. Це оновлення видаляє скомпрометовані виконувані файли та додає легітимні компоненти без шкідливого коду, що робить його наразі єдиною безпечною версією для тих, кому потрібно продовжувати використовувати програму.

Як працює атака: від першої до другої фази

Поведінка шкідливого програмного забезпечення, пов'язаного з DAEMON Tools, відповідає типовій двофазній схемі атаки , дуже поширеній у цілеспрямованих операціях. Спочатку розгортається легкий компонент розвідки, і лише в певних випадках для контролю над системою використовуються складніші інструменти.

На першому етапі шкідливий код, вбудований у модифіковані бінарні файли, постійно запускається щоразу під час запуску Windows. З цього моменту скомпрометований комп’ютер надсилає запит до сервера командного керування, використовуючи домен, який виглядає легітимним, наприклад env-check.daemontools.cc, щоб отримати подальші інструкції.

«Першим етапом» атаки є базовий модуль збору інформації . Цей компонент витягує та надсилає зловмисникам такі дані, як MAC-адреса, ім'я хоста, DNS-домен, список запущених процесів, встановлене програмне забезпечення, а також регіональні та мовні налаштування системи. Маючи всю цю інформацію, кіберзлочинці створюють детальний профіль зараженої машини.

У більшості виявлених заражень ситуація не виходила за межі цього початкового рівня шпигунства . Системи отримували лише колектор даних, без завантаження будь-яких потужніших модулів. Незважаючи на це, це серйозне вторгнення, оскільки воно дозволяє зловмисникам ідентифікувати середовища, які є привабливими цілями для подальших атак, та витікати потенційно конфіденційну інформацію про інфраструктуру жертви.

У дуже невеликій кількості випадків, здебільшого пов'язаних з урядовими установами, дослідницькими центрами, промисловими та роздрібними компаніями в таких країнах, як Росія, Білорусь чи Таїланд, командний сервер відповідав, надсилаючи друге корисне навантаження: мінімалістичний бекдор із набагато розширенішими можливостями дистанційного керування.

Цей бекдор другого рівня може завантажувати та виконувати нові корисні навантаження, запускати команди оболонки та виконувати код безпосередньо в пам'яті практично без слідів на диску, що надзвичайно ускладнює виявлення. Звідти система передається на милість зловмисників, які можуть переключитися на інші машини, викрасти документи або розгорнути додаткові інструменти шпигунства.

У найкритичніших випадках спостерігалося розгортання імпланта під назвою QUIC RAT . Цей троян віддаленого доступу підтримує різні протоколи зв'язку з сервером командного управління та здатний впроваджувати шкідливий код у легітимні процеси, такі як notepad.exe або conhost.exe. Цей тип техніки впровадження допомагає маскувати шкідливу активність серед довірених процесів операційної системи.

Масштаби інциденту та постраждалі країни

Зібрані наразі дані свідчать про масштабну атаку, але з дуже вибірковим використанням найшкідливіших можливостей . З початку квітня було зафіксовано кілька тисяч спроб встановлення додаткових шкідливих корисних навантажень через скомпрометовані інсталятори DAEMON Tools Lite.

Більшість уражених комп’ютерів належать домашнім користувачам, що логічно, враховуючи, що DAEMON Tools роками використовується як стандартний інструмент для монтування ISO-образів та створення віртуальних приводів CD, DVD або Blu-ray. Вплив поширений приблизно на сто країн і територій, з особливо високою концентрацією жертв у Росії, Бразилії, Туреччині, Іспанії, Німеччині, Франції, Італії та Китаї.

Однак дослідники наголошують, що для другої фази атаки , в якій було розгорнуто легкий бекдор та RAT на основі QUIC, було обрано лише десяток пристроїв. Серед них були системи, що належать урядовим установам, науковим установам, виробничим компаніям та роздрібній інфраструктурі, що більше відповідає цілеспрямованій операції, ніж простій, опортуністичній, масовій атаці.

Ця закономірність свідчить про те, що зловмисники використовували DAEMON Tools як широку точку входу , але справжньою метою було шпигування або компрометація певних мереж, що мають високу стратегічну цінність. Решта жертв здебільшого слугували фоновим шумом та прикриттям, щоб краще приховати активність, спрямовану на ці пріоритетні цілі.

Ще однією вражаючою деталлю є наявність компонентів шкідливого програмного забезпечення, написаних китайською мовою . Деякі аналітики припускають, що це може вказувати на можливе походження розробників атаки, хоча також цілком можливо, що це відволікаюча тактика, щоб відвернути увагу до певних країн чи груп та ускладнити атрибуцію.

З точки зору пересічного користувача, найбільша проблема полягає в тому, що вся ця атака спиралася на величезну довіру, згенеровану таким поширеним програмним забезпеченням . Мільйони людей роками вважали, що якщо вони завантажують інсталятор з офіційного веб-сайту, і він має дійсний цифровий підпис, то нема про що турбуватися. Цей випадок демонструє, що навіть ці ознаки довіри не є безпомилковими.

DAEMON Tools, віддана класика у своєму розквіті

Щоб зрозуміти масштаб проблеми, важливо пам'ятати, що DAEMON Tools — це не маргінальна програма , а радше добре зарекомендував себе інструмент в екосистемі Windows. Протягом десятиліть він використовувався для монтування образів дисків у таких форматах, як ISO, IMG, UDF, BIN та NRG, які містять повну структуру компакт-дисків, DVD-дисків і навіть жорстких дисків і SSD-накопичувачів.

У золоту добу оптичних носіїв DAEMON Tools став практично стандартом де-факто для тих, кому потрібно було щодня працювати з образами дисків. Хоча сьогодні існують легші або відкриті альтернативи, такі як WinCDEmu в середовищі Windows, програма все ще має величезну базу користувачів як у домашньому, так і в бізнес-середовищі.

Розробники утиліти зазначають, що програмне забезпечення обслуговує понад три мільйони користувачів щомісяця , і ця цифра пояснює, чому кампанія такого типу може так швидко охопити тисячі комп'ютерів по всьому світу. Чим більша популярність інструменту, тим привабливішим для зловмисників є проникнення в його ланцюг розповсюдження.

У цьому контексті особливе занепокоєння викликає той факт, що всі шкідливі інсталятори були підписані дійсним сертифікатом . У багатьох випадках як користувачі, так і самі платформи безпеки сприймають цифровий підпис як показник автентичності, припускаючи, що бінарний файл не був підроблений. Однак тут зловмисникам вдалося підсунути свій код до отримання підпису або повторно використати легітимну інфраструктуру підпису компанії.

Інцидент з DAEMON Tools доповнює зростаючий список атак на ланцюги поставок програмного забезпечення, виявлених з початку року. У звітах про безпеку згадуються аналогічні випадки, що стосуються таких рішень, як eScan у січні, Notepad++ у лютому та CPU-Z у квітні, що підкреслює чітку тенденцію: замість того, щоб безпосередньо атакувати окремих користувачів, кіберзлочинці надають перевагу компрометації центрального зв'язку та дозволяють самому дистриб'ютору програмного забезпечення зробити все інше.

Специфічні ризики для користувачів та організацій

Окрім галасу в ЗМІ, справді важливим є те, що може статися на комп’ютері, на якому встановлено заражену версію DAEMON Tools . Ризики різняться залежно від того, наскільки далеко просунувся ланцюг зараження, але навіть у менш серйозних сценаріях вплив є значним.

На початковому етапі основним впливом є тиха крадіжка системної інформації . Такі дані, як MAC-адреса, ім'я хоста, локаль або список встановленого програмного забезпечення, можуть здаватися незначними, але в руках зловмисника вони дозволяють йому профілювати мережу, виявляти вразливі версії інших програм і готувати набагато складніші наступні атаки.

Якщо систему обрано для другого етапу, небезпека значно зростає. Легкий бекдор дозволяє виконувати віддалені команди та завантажувати додаткові файли , відкриваючи двері для цілої низки загроз: від крадіжки облікових даних та конфіденційних документів до встановлення програм-вимагачів або використання комп'ютера як точки входу для компрометації всієї корпоративної мережі.

Завдяки розгортанню QUIC RAT зловмисники отримують практично повний віддалений доступ до пристрою . Вони можуть впроваджувати код у легітимні процеси, обходити деякі засоби контролю безпеки, переміщатися по мережі та підтримувати безперебійність протягом тривалого часу, не викликаючи підозр. У руках добре забезпеченого суб'єкта цей тип інструменту ідеально підходить для кампаній промислового шпигунства або для отримання тривалого доступу до критичної інфраструктури.

В організаціях із суворими вимогами безпеки вторгнення через поширене програмне забезпечення, таке як DAEMON Tools, є особливо проблематичним. Багато робочих середовищ вважають, що широко відомі утиліти з цифровим підписом є безпечними за замовчуванням, тому моніторинг їхньої поведінки може бути менш складним, ніж у випадку з невідомими або нещодавно випущеними інструментами.

Крім того, цей тип інцидентів підриває загальну довіру до ланцюжка розповсюдження програмного забезпечення . Якщо підписаний офіційний інсталятор більше не є достатньою гарантією, компанії змушені посилювати свої внутрішні процеси перевірки, моніторингу та раннього реагування, що передбачає додаткові витрати часу та ресурсів.

Як дізнатися, чи ви вразливі, і що робити, якщо ви використовуєте DAEMON Tools

У такому випадку перше логічне питання очевидне: чи не встановлено на моєму комп’ютері уражену версію? Основна перевірка включає перевірку номера версії DAEMON Tools Lite. Якщо він знаходиться між 12.5.0.2421 та 12.5.0.2434 і був встановлений або оновлений 8 квітня 2026 року або пізніше, є вагомі підстави для занепокоєння.

Щоб зменшити ризики, експерти рекомендують виконати низку чітких кроків. По-перше, негайно видаліть будь-яку Lite-версію з скомпрометованого діапазону , а якщо ви бажаєте продовжувати користуватися програмою, перейдіть на версію 12.6.0.2445 або вище, яка підтверджено не містить виявлених шкідливих модифікацій.

Далі важливо провести ретельний аналіз системи за допомогою надійного рішення безпеки . Провідні пакети безпеки вже містять спеціальні засоби виявлення маніпульованих двійкових файлів та корисних навантажень, пов’язаних із цією кампанією, тому повне сканування може допомогти знайти сліди шкідливого програмного забезпечення, навіть якщо оригінальні інсталятори було видалено.

У корпоративному середовищі заходи мають бути ще суворішими. Організації повинні ізолювати кінцеві точки, де було виявлено компрометацію DAEMON Tools , переглядати журнали на наявність аномальної активності з початку квітня та перевіряти цілісність підписаних виконуваних файлів у своїх системах. Також рекомендується моніторити мережевий трафік на наявність підключень до підозрілих доменів, пов’язаних із цією кампанією.

Зрештою, як вдома, так і на роботі, рекомендується ретельно перевіряти будь-які дивні або нещодавно додані процеси , а також будь-яке незвичне виконання з тимчасових папок або незвичайних каталогів. Хоча бекдори та QUIC RAT намагаються діяти непомітно, у багатьох випадках вони залишають невеликі підказки, які за належного моніторингу можна виявити.

Фіаско DAEMON Tools демонструє, що простої зосередженості на походженні інсталятора більше недостатньо . Перевірка цифрових підписів залишається важливою, але стало необхідним доповнити цей контроль додатковими рівнями безпеки: поведінковим аналізом, внутрішніми білими списками, сегментацією мережі та суворими політиками щодо того, яке програмне забезпечення можна розгортати в кожному середовищі, включаючи безпечні методи віртуалізації.

У поточному ландшафті загроз атака на DAEMON Tools стала хрестоматійним прикладом того, як легітимне, добре зарекомендуване програмне забезпечення може бути використане як троянський кінь для масового злому систем і водночас для виконання цілеспрямованих операцій проти невеликої групи високоцінних жертв. Для звичайних користувачів урок очевидний: бажано ретельно перевіряти будь-які нещодавні встановлення програми, негайно оновлювати її та залишатися пильними, навіть якщо програмне забезпечення теоретично походить з максимально офіційного джерела.