Критическая уязвимость в DAEMON Tools Lite: бэкдор под видом легитимного ПО

В Банке данных угроз безопасности информации (BDU) была зафиксирована критическая уязвимость в популярной утилите для работы с образами дисков DAEMON Tools Lite. Речь идёт о версиях от 12.5.0.2421 до 12.5.0.2434, выпущенных компанией Disc Soft Ltd. Проблема получила идентификаторы BDU:2026-07425 и CVE-2026-8398 и оказалась куда серьёзнее, чем может показаться на первый взгляд.

Детали уязвимости

Суть уязвимости - наличие опасных недекларированных возможностей, то есть, проще говоря, внедрённого вредоносного кода. Эксперты классифицировали её по стандарту CWE-506 (вредоносный код, встроенный в программное обеспечение). Это не баг в алгоритме сжатия дисков и не ошибка в обработке файлов образов. Это сознательно добавленный функционал, который позволяет злоумышленнику, действующему удалённо, обойти существующие ограничения безопасности.

Оценки по международным шкалам CVSS говорят сами за себя. По второй версии базовый вектор составил максимальные 10 баллов, а по третьей - 9,8 из 10. Уровень опасности признан критическим. Комбинация параметров показывает, что атака не требует аутентификации, не нуждается во взаимодействии с пользователем и может быть проведена удалённо через сеть. Проще говоря, чтобы заразить систему, жертве достаточно просто иметь уязвимую версию программы на компьютере, подключенном к интернету.

Что же такое DAEMON Tools Lite? Это одна из самых распространённых утилит для монтирования образов компакт-дисков и DVD. Программа десятилетиями используется геймерами, системными администраторами и обычными пользователями. Она есть на миллионах компьютеров по всему миру. Бесплатная версия Lite особенно популярна, и это делает уязвимость массовой угрозой.

Тип ошибки "внедрённый вредоносный код" намекает на то, что злоумышленники могли скомпрометировать процесс сборки дистрибутива. Либо, что ещё тревожнее, код был добавлен намеренно самими разработчиками или кем-то из сотрудников компании. Подтвердить это или опровергнуть пока невозможно - информации о расследовании инцидента в открытых источниках недостаточно. Однако сам факт, что CISA (Агентство по кибербезопасности и защите инфраструктуры США) добавила CVE-2026-8398 в каталог известных эксплуатируемых уязвимостей, говорит о том, что атаки уже идут. К тому же, по данным BDU, эксплойт существует в открытом доступе.

Способ эксплуатации описывается как "злоупотребление функционалом". Это означает, что уязвимость не требует сложных манипуляций с памятью или написания изощрённого шелл-кода. Вредоносный код уже встроен в программу. Атакующему достаточно лишь задействовать его через стандартные механизмы взаимодействия с приложением по сети.

Хорошая новость в том, что производитель подтвердил уязвимость и выпустил обновление. Ситуацию уже устранили - версия новее 12.5.0.2434 не содержит опасного кода. Disc Soft Ltd. рекомендует пользователям обновить DAEMON Tools Lite до актуальной сборки со своего официального сайта.

Представителям бизнеса и государственным учреждениям следует немедленно провести инвентаризацию парка программного обеспечения. Если хотя бы один компьютер в сети использует уязвимую версию DAEMON Tools Lite, злоумышленник может получить полный контроль над системой. Более того, учитывая высокий сетевой рейтинг уязвимости (AV:N), атака может исходить из любой точки интернета.

В качестве компенсирующих мер эксперты рекомендуют ограничить доступ к уязвимому программному обеспечению из внешних сетей, использовать средства межсетевого экранирования, сегментировать локальную сеть и применять системы обнаружения вторжений (класса IDS/IPS для выявления аномальной сетевой активности). Также настоятельно рекомендуется организовать доступ к подобным программам исключительно через виртуальные частные сети (VPN). Однако ключевой мерой остаётся обновление.

Этот инцидент напоминает о старом правиле информационной безопасности: даже легитимное программное обеспечение с многолетней историей может оказаться угрозой. Пользователям стоит пересмотреть практику автоматического доверия популярным утилитам. Особенно тем, которые имеют доступ к системным функциям и работают с привилегиями.

Детали уязвимости

Ссылки