هجوم سلسلة التوريد
اكتشف خبراؤنا هجوماً واسع النطاق على سلسلة التوريد عبر برنامج DAEMON Tools، وهو برنامج لمحاكاة محركات الأقراص الضوئية. تمكن المهاجمون من حقن شِفرة خبيثة في مُثبتات البرنامج، وجميع الملفات التنفيذية المُطعَّمة موقعة بتوقيع رقمي صالح من AVB Disc Soft، مطور DAEMON Tools. تنتشر النسخة الخبيثة من البرنامج منذ 8 أبريل 2026. وقت كتابة هذه السطور، لا يزال الهجوم مستمراً. ويعتقد باحثو كاسبرسكي أنه هجوم موجَّه.
ما مخاطر تثبيت النسخة الخبيثة من DAEMON Tools؟
بعد تثبيت البرنامج المُطعَّم على جهاز الضحية، يُطلِق النظام عند كل إقلاع ملفاً خبيثاً يرسل طلباً إلى خادم القيادة والتحكم (C2). رداً على ذلك، قد يرسل الخادم أمراً لتنزيل وتنفيذ حمولات خبيثة إضافية.
في البداية، ينشر المهاجمون جامع معلومات يجمع عنوان MAC، واسم المضيف، واسم نطاق DNS، وقوائم العمليات الجارية والبرامج المثبتة، وإعدادات اللغة. ثم يرسل البرمج الخبيث هذه المعلومات إلى خادم القيادة والتحكم.
في بعض الحالات، وبناءً على المعلومات المُجمعة، يرسل خادم القيادة والتحكم باباً خلفياً مبسطاً إلى جهاز الضحية. وهو قادر على تنزيل حمولات خبيثة إضافية، وتنفيذ أوامر الصدفة (Shell)، وتشغيل وحدات شِفرة الصدفة في الذاكرة.
يمكن استخدام الباب الخلفي لنشر غرسة أكثر تطوراً تُسمى QUIC RAT. وهي تدعم عدة بروتوكولات تواصل مع خادم القيادة والتحكم، وقادرة على حقن حمولات خبيثة داخل عمليتَي notepad.exe وconhost.exe.
يمكن العثور على معلومات تقنية أكثر تفصيلاً، إلى جانب مؤشرات الاختراق، في مقالة الخبراء على مدونة Securelist.
من المستهدَف؟
منذ أوائل أبريل، تم رصد عدة آلاف من محاولات تثبيت حمولات خبيثة إضافية عبر برنامج DAEMON Tools المصاب. كانت معظم الأجهزة المصابة لمستخدمين منزليين، لكن نحو 10% من محاولات التثبيت كُشفت على أنظمة تعمل داخل مؤسسات. جغرافياً، توزعت الضحايا عبر قرابة مئة دولة وإقليم. تركزت معظم الحالات في روسيا والبرازيل وتركيا وإسبانيا وألمانيا وفرنسا وإيطاليا والصين.
غالباً ما اقتصر الهجوم على تثبيت جامع معلومات. ولم يُصب الباب الخلفي سوى نحو اثنتي عشرة آلة في جهات حكومية ومؤسسات علمية ومنظمات صناعية، فضلاً عن متاجر تجزئة في روسيا وبيلاروسيا وتايلاند.
ما الذي أُصيب تحديداً؟
كُشف عن الشِفرة الخبيثة في نسخ DAEMON Tools من 12.5.0.2421 إلى 12.5.0.2434. وقد اخترق المهاجمون ملفات DTHelper.exe وDiscSoftBusServiceLite.exe وDTShellHlp.exe التي تُثبت في الدليل الرئيسي لبرنامج DAEMON Tools.
كيف تبقى آمناً؟
إذا كان برنامج DAEMON Tools مستخدَماً على جهازك (أو في أي مكان داخل مؤسستك)، يوصي خبراؤنا بفحص الأجهزة التي ثُبت عليها بدقة لرصد أي نشاط غير معتاد ابتداءً من 8 أبريل 2026.
بالإضافة إلى ذلك، نوصي باستخدام حلول أمنية موثوقة على جميع أجهزة المنزل و الشركات المستخدمة للوصول إلى الإنترنت. تحمي حلولنا المستخدمين بكفاءة من جميع البرمجيات الخبيثة التي استُخدمت في الهجوم على سلسلة التوريد عبر DAEMON Tools.
النصائح