遥测数据显示，今朝已在 100 多个国度不雅测到相干感染测验测验。 受影响体系数居前的地区包含俄罗斯、巴西、土耳其、西班牙、德国、法国、意大年夜利和中国等。 个中约一成受影响设备属于各类组织机构，其余大年夜多仅逗留在初始的数据收集阶段，并未进一步接收第二阶段载荷。
在此次事宜中，DTHelper.exe、DiscSoftBusServiceLite.exe、DTShellHlp.exe 等多个核心可履行文件被修改，参加隐蔽后门逻辑。 一旦软件被安装，这些组件会在体系启动时主动运行，并与外部的敕令与控制（C2）办事器建立通信。 进击者还注册并启用了一个与 DAEMON Tools 官方站点名称极为类似的域名，以此将恶意流量假装成正常拜访行动；该域名在进击开端前数日才注册，显示出进击行动经由精心预谋和策划。
查询拜访显示，这轮进击行动始于 2026 年 4 月 8 日，多个版本的 DAEMON Tools（12.5.0.2421 至 12.5.0.2434）被“投毒”，遭修改后的安装法度榜样直接托管在软件官方网站上，并应用开辟商 AVB Disc Soft 的有效数字证书进行签名，大年夜幅进步了用户误信和中招的概率。 研究人员指出，截至 5 月上旬，该进击活动仍在持续，对应的恶意基本举措措施依然处于活泼状况。
从进击链路来看，此次行动出现明显的分阶段构造。 在大年夜多半受害设备上，体系起首会接收到一个信息窃取类的初始载荷，用于收集包含 MAC 地址、主机名、已安装软件列表、正在运行的过程、收集设备以及体系说话/区域设置等在内的多种情况数据。 这些数据会被上传至进击者控制的办事器，推想用于对受感染体系进行画像与价值评估，从而决定后续是否投放更高等其余对象。 研究人员还在该载荷中发清楚明了部分中文字符串，暗示进击方可能为中文应用者，但今朝尚未有正式、明白的溯源结论。
固然监测到的感染测验测验已遍布全球、数量达数千例，但真正被投放第二阶段恶意法度榜样的仅是少数量标主机。 这些“优先目标”多附属于当局、制造业、科学研究以及零售等行业组织。 这种有限投放、定向加码的方法显示，这并非纯真的机会型进击，而更接近具有谍报收集或计谋渗入渗出意图的定向行动。
在已确认的二阶段对象中，研究人员发明一种极简后门，可在受害体系上履行敕令、下载文件，并将恶意代码直接加载至内存中运行，以降降低地陈迹。 在至少一例成功入侵的案例中，进击者还安排了名为 QUIC RAT 的高等植入法度榜样。 该恶意法度榜样支撑 HTTP、TCP、DNS、QUIC 等多种通信协定，并可将自身恶意代码注入到诸如 notepad.exe 等合法过程中，从而进一步隐蔽其活动轨迹。
卡巴斯基表示，其平安产品可以在多个环节对本次进击进行检测与拦截，包含辨认可疑的基于 PowerShell 的下载行动、从临时目次履行的恶意法度榜样、向合法过程注入代码的活动，以及异常的对外收集通信模式等。 研究人员建议，凡是在 2026 年 4 月 8 日之后安装过 DAEMON Tools 的组织，应对相干体系开展周全审计，重点检查是否存在异常的 PowerShell 敕令交活动以及从临时目次触发的可疑履行。 同时，机构应优先落实零信赖安然架构，限制临时目次的可履行权限，并经由过程分层防御策略晋升整体安然韧性。
此次 DAEMON Tools 供给链事宜再次注解，进击者正在赓续精进针对软件供给链的进击手段，将大年夜范围分发与精准袭击相结合，以合法、可托的软件为跳板渗入渗出各类情况。 在这种趋势下，即就是被经久视为“安然”的常用对象软件，也必须被视作潜在风险源，组织须要以更为谨慎和主动的安然策略来应对日益复杂的供给链威逼。
发表评论 取消回复