Atak na łańcuch dostaw Daemon Tools. Kto jest zagrożony i jak się chronić?

„To wyraźnie wskazuje, że napastnik miał zamiar przeprowadzić infekcję w sposób ukierunkowany” – mówią badacze Kaspersky o ataku na łańcuch dostaw, który dotknął użytkowników popularnego oprogramowania Daemon Tools. Chińskojęzyczni napastnicy wstrzyknęli złośliwy kod do legalnych wersji programu, a ofiarami padły instytucje rządowe, naukowe i produkcyjne. Dla polskich firm i administratorów to sygnał, by dokładnie sprawdzić swoje systemy.

Jak doszło do kompromitacji Daemon Tools?

Atak polegał na wstrzyknięciu złośliwego kodu do trzech plików binarnych oprogramowania: DTHelper.exe, DiscSoftBusServiceLite.exe oraz DTShellHlp.exe. Wszystkie pliki były podpisane certyfikatami należącymi do AVB Disc Soft, producenta Daemon Tools. Jak wyjaśniają badacze, „za każdym razem, gdy jeden z tych plików jest uruchamiany, co ma miejsce podczas startu komputera, aktywuje się backdoor”.

Zainfekowane zostały wersje Daemon Tools Lite od 12.5.0.2421 do 12.5.0.2434, wydane od 8 kwietnia 2026 roku. Producent potwierdził incydent i udostępnił czystą wersję 12.6.0.2445. Jak zaznacza Disc Soft, „tylko wersja Daemon Tools Lite 12.5.1 została naruszona, problem został opanowany, a żadne inne produkty, takie jak Daemon Tools Ultra i Daemon Tools Pro, nie zostały dotknięte”.

Kto był celem i jakie były skutki?

Backdoor wysyłał zapytania do domeny typosquattingowej zarejestrowanej 27 marca. Serwer odpowiadał komendą shell, która pobierała i uruchamiała złośliwe oprogramowanie. W pierwszej fazie napastnicy próbowali wdrożyć narzędzie do zbierania informacji na tysiącach maszyn w ponad 100 krajach, głównie w Brazylii, Chinach, Francji, Niemczech, Włoszech, Rosji, Hiszpanii i Turcji.

Jak podaje Kaspersky, „około 10% zainfekowanych maszyn należy do różnych firm i organizacji”. Spośród tysięcy zainfekowanych systemów napastnicy wybrali kilkanaście – głównie w instytucjach rządowych, naukowych, produkcyjnych i handlowych na Białorusi, w Rosji i Tajlandii – i zainfekowali je drugim, bardziej zaawansowanym backdoorem. W jednym przypadku, w rosyjskiej instytucji edukacyjnej, wdrożono jeszcze bardziej złożone oprogramowanie szpiegujące QUIC RAT.

„Ten sposób wdrażania backdoora do małego podzbioru zainfekowanych maszyn wyraźnie wskazuje, że napastnik miał zamiar przeprowadzić infekcję w sposób ukierunkowany. Jednak ich intencja – czy to cyberszpiegostwo, czy „polowanie na grubą zwierzynę” – jest obecnie niejasna” – komentują badacze Kaspersky.

Jak się chronić? Praktyczne kroki dla administratorów i użytkowników

Disc Soft potwierdził, że „wzmocnił procedury weryfikacji, aby jeszcze bardziej zmniejszyć ryzyko podobnych incydentów w przyszłości”. Jednak użytkownicy, którzy pobrali zainfekowane wersje, muszą sami oczyścić systemy. Producent zaleca odinstalowanie Daemon Tools Lite i przeskanowanie komputera w poszukiwaniu złośliwego oprogramowania.

Dla administratorów i firm kluczowe są następujące działania:

• Sprawdź wersję Daemon Tools Lite – jeśli używasz wersji 12.5.0.2421 do 12.5.0.2434, natychmiast odinstaluj program i przeskanuj system.
• Zaktualizuj do najnowszej wersji – czysta wersja 12.6.0.2445 jest dostępna na oficjalnej stronie.
• Monitoruj ruch sieciowy – backdoor komunikował się z domeną typosquattingową. Sprawdź logi DNS i ruch wychodzący pod kątem podejrzanych zapytań.
• Weryfikuj integralność oprogramowania – w miarę możliwości używaj sum kontrolnych lub podpisów cyfrowych do weryfikacji pobranych plików.
• Segmentuj sieć – ogranicz dostęp do krytycznych systemów, aby nawet w przypadku infekcji backdoor nie mógł łatwo dotrzeć do wrażliwych danych.

Więcej informacji o samym incydencie można znaleźć w raporcie Kaspersky opisanym przez SecurityWeek oraz w oficjalnym oświadczeniu Disc Soft.

Co dalej? Obserwuj i reaguj

Atak na Daemon Tools to kolejny przykład, że nawet zaufane oprogramowanie może stać się wektorem ataku. Napastnicy nie muszą przełamywać zaawansowanych zabezpieczeń – wystarczy, że skompromitują jeden element łańcucha dostaw. Dla polskich firm i instytucji kluczowe jest nie tylko reagowanie na konkretne incydenty, ale także budowanie kultury bezpieczeństwa, w której regularne skanowanie, aktualizacje i weryfikacja integralności oprogramowania są standardem. Bądź czujny, ale nie panikuj – wiedza i odpowiednie procedury to najlepsza ochrona.