虛擬光驅(qū)軟件DAEMON Tools 自4月起遭遇供應(yīng)鏈攻擊 數(shù)千用戶受影響

安全研究人員近日披露，廣泛使用的虛擬光驅(qū)軟件 DAEMON Tools 遭遇嚴(yán)重供應(yīng)鏈攻擊，其官方安裝程序自 2026 年 4 月初起被植入后門并通過正規(guī)渠道分發(fā)，波及全球數(shù)千臺設(shè)備。 根據(jù)卡巴斯基發(fā)布的調(diào)查結(jié)果，攻擊者入侵了合法安裝包，在經(jīng)官方數(shù)字簽名的二進(jìn)制文件中注入惡意代碼，使得惡意程序偽裝成可信的軟件更新進(jìn)行投遞。

調(diào)查顯示，這輪攻擊行動始于 2026 年 4 月 8 日，多個版本的 DAEMON Tools（12.5.0.2421 至 12.5.0.2434）被“投毒”，遭篡改后的安裝程序直接托管在軟件官方網(wǎng)站上，并使用開發(fā)商 AVB Disc Soft 的有效數(shù)字證書進(jìn)行簽名，大幅提高了用戶誤信和中招的概率。 研究人員指出，截至 5 月上旬，該攻擊活動仍在持續(xù)，對應(yīng)的惡意基礎(chǔ)設(shè)施依然處于活躍狀態(tài)。

在此次事件中，DTHelper.exe、DiscSoftBusServiceLite.exe、DTShellHlp.exe 等多個核心可執(zhí)行文件被修改，加入隱藏后門邏輯。 一旦軟件被安裝，這些組件會在系統(tǒng)啟動時自動運行，并與外部的命令與控制（C2）服務(wù)器建立通信。 攻擊者還注冊并啟用了一個與 DAEMON Tools 官方站點名稱極為相似的域名，以此將惡意流量偽裝成正常訪問行為；該域名在攻擊開始前數(shù)日才注冊，顯示出攻擊行動經(jīng)過精心預(yù)謀和策劃。

從攻擊鏈路來看，此次行動呈現(xiàn)明顯的分階段結(jié)構(gòu)。 在大多數(shù)受害設(shè)備上，系統(tǒng)首先會接收到一個信息竊取類的初始載荷，用于收集包括 MAC 地址、主機(jī)名、已安裝軟件列表、正在運行的進(jìn)程、網(wǎng)絡(luò)配置以及系統(tǒng)語言/區(qū)域設(shè)置等在內(nèi)的多種環(huán)境數(shù)據(jù)。 這些數(shù)據(jù)會被上傳至攻擊者控制的服務(wù)器，推測用于對受感染系統(tǒng)進(jìn)行畫像與價值評估，從而決定后續(xù)是否投放更高級別的工具。 研究人員還在該載荷中發(fā)現(xiàn)了部分中文字符串，暗示攻擊方可能為中文使用者，但目前尚未有正式、明確的溯源結(jié)論。

雖然監(jiān)測到的感染嘗試已遍布全球、數(shù)量達(dá)數(shù)千例，但真正被投放第二階段惡意程序的僅是少數(shù)目標(biāo)主機(jī)。 這些“優(yōu)先目標(biāo)”多隸屬于政府、制造業(yè)、科學(xué)研究以及零售等行業(yè)組織。 這種有限投放、定向加碼的方式顯示，這并非單純的機(jī)會型攻擊，而更接近具有情報收集或戰(zhàn)略滲透意圖的定向行動。

在已確認(rèn)的二階段工具中，研究人員發(fā)現(xiàn)一種極簡后門，可在受害系統(tǒng)上執(zhí)行命令、下載文件，并將惡意代碼直接加載至內(nèi)存中運行，以降低落地痕跡。 在至少一例成功入侵的案例中，攻擊者還部署了名為 QUIC RAT 的高級植入程序。 該惡意程序支持 HTTP、TCP、DNS、QUIC 等多種通信協(xié)議，并可將自身惡意代碼注入到諸如 notepad.exe 等合法進(jìn)程中，從而進(jìn)一步隱蔽其活動軌跡。

遙測數(shù)據(jù)顯示，目前已在 100 多個國家觀測到相關(guān)感染嘗試。 受影響系統(tǒng)數(shù)居前的地區(qū)包括俄羅斯、巴西、土耳其、西班牙、德國、法國、意大利和中國等。 其中約一成受影響設(shè)備屬于各類組織機(jī)構(gòu)，其余大多僅停留在初始的數(shù)據(jù)收集階段，并未進(jìn)一步接收第二階段載荷。

卡巴斯基表示，其安全產(chǎn)品可以在多個環(huán)節(jié)對本次攻擊進(jìn)行檢測與攔截，包括識別可疑的基于 PowerShell 的下載行為、從臨時目錄執(zhí)行的惡意程序、向合法進(jìn)程注入代碼的活動，以及異常的對外網(wǎng)絡(luò)通信模式等。 研究人員建議，凡是在 2026 年 4 月 8 日之后安裝過 DAEMON Tools 的組織，應(yīng)對相關(guān)系統(tǒng)開展全面審計，重點檢查是否存在異常的 PowerShell 命令行活動以及從臨時目錄觸發(fā)的可疑執(zhí)行。 同時，機(jī)構(gòu)應(yīng)優(yōu)先落實零信任安全架構(gòu)，限制臨時目錄的可執(zhí)行權(quán)限，并通過分層防御策略提升整體安全韌性。

此次 DAEMON Tools 供應(yīng)鏈?zhǔn)录俅伪砻鳎粽哒诓粩嗑M(jìn)針對軟件供應(yīng)鏈的攻擊手法，將大范圍分發(fā)與精準(zhǔn)打擊相結(jié)合，以合法、可信的軟件為跳板滲透各類環(huán)境。 在這種趨勢下，即便是被長期視為“安全”的常用工具軟件，也必須被視作潛在風(fēng)險源，組織需要以更為審慎和主動的安全策略來應(yīng)對日益復(fù)雜的供應(yīng)鏈威脅。