DAEMON Tools Supply Chain Attack Analysis: Malicious Installer Backdoor and RAT

DAEMON Tools 供应链攻击事件总结 漏洞概述 攻击类型：供应链攻击（Supply Chain Attack）。 受影响软件：DAEMON Tools（一款用于挂载磁盘镜像的工具）。 攻击时间：自 2026 年 4 月 8 日起。 攻击手法：攻击者通过篡改 DAEMON Tools 的安装程序（版本 12.5.0.2421 至 12.5.0.2434），植入了恶意载荷。这些安装程序拥有合法的数字签名。 恶意行为： 1. 安装程序启动时会激活后门，向恶意服务器发送 GET 请求。 2. 服务器返回指令，下载并执行信息收集器（Information Collector）。 3. 针对特定目标（如政府、科研机构），还会部署更复杂的“极简后门”（Minimalistic backdoor）和 QUIC RAT。 影响范围 感染数量：数千次感染尝试，涉及全球 100 多个国家的个人和组织。 目标行业：零售、科学、政府、制造业。 地域分布：主要位于俄罗斯、巴西、土耳其、西班牙、德国、法国、意大利和中国。 受影响文件： 修复方案 官方响应：供应商已确认问题并发布了新版本 12.6.0.2445，该版本移除了恶意行为。 用户建议： 检查系统是否安装了受影响的版本（12.5.0.2421 - 12.5.0.2434）。 升级至最新版本。 * 使用 Kaspersky 安全软件进行检测和防护。 技术细节与代码提取 1. 恶意通信 URL 构造代码 攻击者通过修改启动代码，将 GET 请求发送到恶意服务器。 2. 信息收集器（Information Collector）部署代码 攻击者通过 PowerShell 命令下载并执行信息收集器。 3. 信息收集器代码片段（包含中文硬编码） 信息收集器收集 MAC 地址、主机名、DNS 域名、进程列表、已安装软件列表和系统区域设置。 4. 极简后门（Minimalistic Backdoor）部署代码 针对特定目标部署的后门，用于下载 和 。 5. 极简后门执行命令代码 用于执行命令的后门代码。 6. 错误拼写导致的后门未执行案例 攻击者在某些情况下使用了错误的拼写，导致后门未能成功部署。

目標達成 すべての支援者に感謝 — 100%達成しました！

DAEMON Tools Supply Chain Attack Analysis: Malicious Installer Backdoor and RAT

目標達成すべての支援者に感謝 — 100%達成しました！