Атака через цепочку поставок DAEMON Tools

Обнаружена атака на цепочку поставок, затронувшая популярное ПО для эмуляции оптических приводов DAEMON Tools. Вредоносный код был внедрён в официальные установщики и распространялся через легитимные каналы.

Аналитики Kaspersky сообщили, что заражённые версии распространялись начиная с 8 апреля 2026 года. Под компрометацию попали релизы в диапазоне от 12.5.0.2421 до 12.5.0.2434, при этом атака остаётся активной на момент публикации.

Подмена компонентов установщика

В рамках атаки были изменены несколько ключевых исполняемых файлов:

  • DTHelper.exe

  • DiscSoftBusServiceLite.exe

  • DTShellHlp.exe

Эти компоненты были модифицированы так, чтобы загружать вредоносную нагрузку при установке программы.

Все заражённые файлы подписаны действующей цифровой подписью разработчика, что позволяет им выглядеть легитимно и обходить стандартные механизмы защиты.

Поведение вредоносного кода

Вредоносная версия устанавливает бэкдор с возможностью удалённого управления системой. Он запускается при старте системы и закрепляется в операционной системе благодаря повышенным привилегиям, которые обычно имеет подобное ПО.

Первичная нагрузка собирает информацию о системе, включая MAC-адрес, имя хоста, список процессов, установленное ПО и региональные настройки.

В отдельных случаях атака разворачивается дальше. На ограниченном числе машин злоумышленники вручную устанавливали дополнительные инструменты, включая загрузчики шеллкода и ранее неизвестные трояны удалённого доступа.

Масштаб и цели атаки

По данным телеметрии, зафиксированы тысячи попыток заражения более чем в 100 странах. Около 10% затронутых систем принадлежат организациям.

Подтверждённые случаи целевых атак затронули компании и государственные структуры в России, Беларуси и Таиланде.

Анализ вредоносного кода указывает на возможную связь с группой, использующей китайский язык, однако окончательная атрибуция не подтверждена.

Дополнительные детали атаки

Для управления заражёнными системами использовался домен, зарегистрированный незадолго до начала атаки.

Вредоносная инфраструктура позволяет загружать дополнительные компоненты и расширять функциональность заражения. В некоторых случаях применяются инструменты удалённого администрирования, маскирующиеся под легитимные решения.

Разработчик DAEMON Tools, компания AVB Disc Soft, уведомлена об инциденте и проводит расследование.

Контекст угрозы

Атаки на цепочку поставок позволяют распространять вредоносный код через доверенные источники, что делает их особенно эффективными. Пользователи устанавливают заражённое ПО, не подозревая об угрозе, поскольку оно получено с официального сайта и подписано корректной цифровой подписью.

Источник: HN

Комментарии (0)

Войдите, чтобы оставить комментарий

Похожие статьи

Кибербезопасность 1 месяц назад

Glassworm: вредоносная кампания использует блокчейн Solana для управления и маскировки инфраструктуры

Разбор вредоносной кампании Glassworm, использующей блокчейн Solana для управления заражёнными устройствами и обхода классических механизмов защиты.

Кибербезопасность 2 месяца назад

Notepad++ усилил защиту обновлений после атаки

Notepad++ устранил уязвимость в механизме обновлений, которую злоумышленники использовали для целевой доставки вредоносных файлов, а также усилил проверку подписи обновлений.

Кибербезопасность 4 часа назад

Критическая уязвимость Apache HTTP/2 (CVE-2026-23918)

В Apache HTTP Server обнаружена критическая уязвимость в реализации HTTP/2, позволяющая вызвать DoS и потенциально выполнить произвольный код. Ошибка связана с двойным освобождением памяти в mod_http2.

Кибербезопасность 4 месяца назад

Два расширения Google Chrome пойманы на тайной краже паролей с более чем 170 сайтов

Два вредоносных расширения Chrome, замаскированных под VPN-инструмент, которые на самом деле перехватывают пароли и другие конфиденциальные данные, перенаправляя трафик через серверы злоумышленников. Расширения вводят пользователя в заблуждение, выглядя полезными, но тайно осуществляют кражу данных с более чем 170 популярных сайтов.