Atak na łańcuch dostaw DAEMON Tools. Setki tysięcy zainfekowanych komputerów w ponad 100 krajach
Hakerzy trojanizowali instalatory popularnego narzędzia DAEMON Tools od początku kwietnia. Atak typu supply chain dotknął tysiące użytkowników na całym świecie. Eksperci radzą, jak sprawdzić, czy system został naruszony.
Na początku maja 2026 roku bezpieczeństwo tysięcy użytkowników na całym świecie zostało zagrożone przez atak na łańcuch dostaw popularnego oprogramowania DAEMON Tools. Jak podaje firma Kaspersky, hakerzy trojanizowali oficjalne instalatory tego narzędzia, co doprowadziło do infekcji w ponad 100 krajach. Choć pierwszy etap ataku dotknął bardzo wielu użytkowników, drugi, bardziej niebezpieczny ładunek trafił tylko do kilkunastu wybranych maszyn. Eksperci zalecają natychmiastowe sprawdzenie systemów.
Jak doszło do kompromitacji instalatorów?
DAEMON Tools to popularne narzędzie do montowania obrazów dysków jako wirtualnych napędów. W przeszłości było chętnie używane przez graczy i zaawansowanych użytkowników, dziś znajduje zastosowanie głównie w środowiskach wymagających zarządzania wirtualnymi nośnikami. Jak donosi BleepingComputer, od 8 kwietnia 2026 roku na oficjalnej stronie projektu dostępne były zainfekowane wersje instalatora – od 12.5.0.2421 do 12.5.0.2434. Kompromitacji uległy pliki wykonywalne DTHelper.exe, DiscSoftBusServiceLite.exe oraz DTShellHlp.exe.
Instalatory były podpisane cyfrowo, co utrudniało wykrycie nieprawidłowości. Po uruchomieniu zainfekowanego pliku uruchamiał się szkodliwy kod, który instalował backdoora i zapewniał mu trwałość w systemie (persistence). Atak trwał niemal miesiąc, zanim został wykryty przez badaczy Kaspersky. Według ich raportu „atak na łańcuch dostaw DAEMON Tools jest wystarczająco wyrafinowanym narzędziem, które umknęło wykryciu przez prawie miesiąc”.
Dwa etapy infekcji – od zbierania danych po backdoor
Pierwszy etap ataku polegał na instalacji prostego informacyjnego stealera. Jak wynika z analizy Kaspersky, malware zbierał dane o systemie: nazwę hosta, adres MAC, listę uruchomionych procesów, zainstalowane oprogramowanie oraz lokalizację systemową. Informacje te były wysyłane do serwera kontrolującego atak, gdzie następowała selekcja ofiar – tylko wybrane maszyny otrzymywały drugi ładunek.
Ten drugi etap był znacznie groźniejszy. Lekki backdoor umożliwiał wykonanie dowolnych poleceń, pobieranie plików oraz uruchamianie kodu bezpośrednio w pamięci RAM (tzw. fileless execution). W jednym przypadku, dotyczącym rosyjskiej instytucji edukacyjnej, zaobserwowano wdrożenie bardziej zaawansowanego złośliwego oprogramowania o nazwie QUIC RAT. To narzędzie obsługuje wiele protokołów komunikacyjnych i potrafi wstrzykiwać szkodliwy kod do legalnych procesów.
Badacze Kaspersky nie przypisują ataku konkretnej grupie, ale na podstawie fragmentów kodu w pierwszym ładunku podejrzewają, że sprawca posługuje się językiem chińskim. Wśród ofiar drugiego etapu znalazły się organizacje z sektora handlu detalicznego, nauki, administracji rządowej oraz przemysłu – głównie w Rosji, Białorusi i Tajlandii. Atak wciąż trwa.
Co powinni zrobić użytkownicy i administratorzy?
Najważniejszym krokiem jest sprawdzenie, czy na komputerze nie zainstalowano podatnych wersji DAEMON Tools. Kaspersky podkreśla, że organizacje powinny dokładnie zbadać maszyny, na których DAEMON Tools był instalowany po 8 kwietnia, pod kątem nietypowej aktywności. Kluczowe jest skanowanie systemów za pomocą aktualnych narzędzi antywirusowych, które powinny już zawierać sygnatury tego zagrożenia.
W przypadku wykrycia infekcji należy:
- odłączyć komputer od sieci, aby uniemożliwić dalszą komunikację z serwerem C2,
- wykonać pełne skanowanie antywirusem i narzędziem anty-malware,
- rozważyć przywrócenie systemu z kopii zapasowej utworzonej przed 8 kwietnia,
- zgłosić incydent do zespołu CERT lub odpowiedniego działu bezpieczeństwa.
Nawet jeśli komputer nie zdradza oznak infekcji, ale instalował podejrzane wersje DAEMON Tools, warto zachować czujność. Atakujący mogli ukraść dane systemowe – niekoniecznie od razu widoczne dla użytkownika.
„Biorąc pod uwagę wysoką złożoność ataku, dla organizacji kluczowe jest dokładne zbadanie maszyn, które miały zainstalowany DAEMON Tools, pod kątem nietypowej aktywności związanej z cyberbezpieczeństwem, która miała miejsce 8 kwietnia lub później” – radzą badacze Kaspersky.
Szerszy kontekst – rosnąca fala ataków na łańcuch dostaw
Incydent z DAEMON Tools nie jest odosobniony. Jak zauważają analitycy, od początku 2026 roku niemal co miesiąc wykrywano podobne ataki: w styczniu skompromitowano oprogramowanie eScan, w lutym Notepad++, w kwietniu CPU-Z. Do tego doszły ataki na repozytoria kodu, pakiety npm i rozszerzenia – w tym głośne kampanie Trivy, Checkmarx czy Glassworm. To pokazuje, że ataki na łańcuch dostaw stały się stałym elementem krajobrazu zagrożeń.
Dla polskich firm i administratorów oznacza to jedno: należy weryfikować nie tylko oprogramowanie pobierane z zewnątrz, ale także jego integralność po instalacji. Warto korzystać z narzędzi do sprawdzania sum kontrolnych (hashy) oraz w miarę możliwości pobierać aplikacje wyłącznie z zaufanych źródeł. W przypadku DAEMON Tools twórcy potwierdzili naruszenie i wydali już bezpieczną wersję instalatora – warto jak najszybciej ją zainstalować.
Atak na DAEMON Tools to wyraźny sygnał, że nawet sprawdzone, oficjalne oprogramowanie może stać się wektorem ataku. Najlepszą obroną jest czujność i szybka reakcja.
