Масштабная компрометация цепочки поставок популярного программного обеспечения DAEMON Tools затронула пользователей по всему миру. Злоумышленники смогли распространять троянизированные версии установщиков через официальную инфраструктуру разработчика, используя действительные цифровые подписи. Это событие в очередной раз демонстрирует уязвимость систем безопасности даже при наличии формально корректных механизмов проверки подлинности программ.
Описание
Согласно данным аналитиков, атака продолжалась как минимум с 8 апреля 2026 года. Вредоносные версии затронули выпуски с 12.5.0.2421 по 12.5.0.2434. Установщики содержали встроенные бэкдоры, способные загружать и запускать дополнительное вредоносное ПО. Примечательно, что все модифицированные пакеты были подписаны подлинными сертификатами компании AVB Disc Soft, что существенно повышало доверие пользователей.
Специалисты компании Kaspersky документ описывает технические детали инцидента. В ходе исследования были обнаружены три модифицированных бинарных файла в составе установочного пакета: DTHelper.exe, DiscSoftBusServiceLite.exe и DTShellHlp.exe. Эти компоненты запускались автоматически при старте системы и содержали внедрённый бэкдор в инициализационных процедурах среда выполнения. Вредоносный код создавал отдельный поток для связи с управляющим сервером через HTTP-запросы.
Управление осуществлялось через домен Env-check.daemontools[.]cc, который имитировал легитимную инфраструктуру DAEMON Tools. Этот адрес был зарегистрирован примерно за неделю до начала атаки. Сервер мог отправлять произвольные команды оболочки, выполняемые через cmd.exe и PowerShell. В наблюдаемых случаях злоумышленники использовали класс System.Net.WebClient для загрузки дополнительных полезных нагрузок с сервера по адресу 38.180.107[.]76. Полученные файлы сохранялись во временные каталоги, запускались, а затем удалялись для затруднения криминалистического анализа.
Особый интерес представляет двухэтапная схема атаки. На первом этапе на заражённые системы широко распространялась программа-сборщик информации под названием envchk.exe. Этот инструмент собирал MAC-адреса, имена хостов, информацию о DNS-доменах, списки запущенных процессов, установленных программ и данные о региональных настройках системы. Собранная информация передавалась на сервер злоумышленников через HTTP POST-запросы.
Именно здесь проявляется ключевая особенность данной кампании. Несмотря на тысячи попыток заражения, зафиксированных более чем в ста странах, только ограниченное количество систем получило продвинутые полезные нагрузки второго этапа. Исследователи полагают, что программа-сборщик использовалась для профилирования целей и отбора наиболее ценных жертв. Всего около дюжины систем были выбраны для дальнейшей активности.
Выбранные цели получили минималистичный бэкдор, который загружался через цепочку с зашифрованным кодом оболочки. Загрузчик расшифровывал полезную нагрузку с помощью алгоритма RC4 непосредственно в оперативной памяти. Этот бэкдор поддерживал выполнение произвольных команд, загрузку файлов, выполнение кода в памяти и устойчивую связь с управляющим сервером.
В одном подтверждённом случае, касающемся образовательного учреждения в России, злоумышленники развернули более сложное вредоносное ПО под названием QUIC RAT. Это троян удалённого доступа на C++, который использует технику запутывания потока управления и статически связан с библиотекой WolfSSL. Инструмент поддерживает несколько протоколов связи, включая HTTP, HTTP/3, QUIC, TCP, UDP, WSS и DNS.
Последствия данной атаки выходят далеко за рамки отдельного инцидента. Системы заражения были обнаружены более чем в ста странах, причём наибольшая концентрация отмечалась в России, Бразилии, Турции, Испании, Германии, Франции, Италии и Китае. Примерно десять процентов заражённых систем принадлежали организациям и предприятиям. Продвинутые бэкдоры были развёрнуты преимущественно против государственных, научных, производственных, торговых и образовательных учреждений в России, Беларуси и Таиланде.
Для специалистов по информационной безопасности данный инцидент демонстрирует неэффективность моделей белых списков, основанных исключительно на репутации издателя или наличии цифровой подписи. В условиях современных атак на цепочки поставок организации должны уделять повышенное внимание поведенческому мониторингу, анализу оперативной памяти, обнаружению внедрения в процессы и выявлению аномалий в сетевом трафике. Традиционные механизмы доверия к подписанному программному обеспечению больше не могут служить надёжной границей безопасности.
Индикаторы компрометации
