Kaspersky: מתקיני DAEMON Tools הרשמיים הכילו דלת אחורית מאז 8 באפריל
ב-5 במאי 2026 חשפה Kaspersky שמתקיני DAEMON Tools Lite 12.5.0.2421-12.5.0.2434 נשאו נוזקה וחתימה דיגיטלית אמיתית. התיקון הוא גרסה 12.6.0.2445.
TL;DR בקצרה
- מ-8 באפריל 2026 הגיעו מהאתר הרשמי מתקינים חתומים של DAEMON Tools Lite, גרסאות 12.5.0.2421 עד 12.5.0.2434, עם נוזקה.
- לפי Kaspersky, תועדו כמה אלפי ניסיונות הדבקה בכ-100 מדינות, ורק כתריסר מחשבים קיבלו דלת אחורית.
- היצרן Disc Soft הודה בחדירה לסביבת הבנייה שלו, והוציא גרסה נקייה, 12.6.0.2445.
- מי שהתקין את DAEMON Tools מאז 8 באפריל צריך לבדוק את הגרסה, את הקבצים ואת תעבורת הרשת.
מ-8 באפריל 2026 הגיעו מהאתר הרשמי של DAEMON Tools מתקינים עם דלת אחורית. Kaspersky חשפה זאת ב-5 במאי. המתקינים נשאו חתימה דיגיטלית אמיתית של היצרן. התוכנה מעגנת קובצי דיסק כדיסק וירטואלי, והיא פופולרית בקרב גיימרים, מפתחים ואנשי IT.
מה קרה ב-DAEMON Tools
הגרסאות הנגועות הן DAEMON Tools Lite 12.5.0.2421 עד 12.5.0.2434. התוקפים שינו שלושה קבצים בהתקנה: DTHelper.exe, DiscSoftBusServiceLite.exe ו-DTShellHlp.exe. הקבצים נשאו חתימה אמיתית, ולכן נראו אמינים. הדומיין שאליו פנו המתקינים נרשם ב-27 במרץ, לפני תחילת הקמפיין.
לפי Kaspersky, תועדו כמה אלפי ניסיונות הדבקה בכ-100 מדינות. רובם היו ברוסיה, בברזיל, בטורקיה, בספרד, בגרמניה, בצרפת, באיטליה ובסין. כ-10% מהמקרים היו במחשבי ארגונים.
הגילוי לקח כחודש. Help Net Security מציין שהנתונים של Kaspersky חלקיים. התוכנה שלה אסורה בארה״ב, ומוגבלת בגופי ממשל בכמה מדינות מערביות. לכן חלק מהמחשבים הנגועים עלולים לא להופיע בנתונים שלה.
מה עשתה הנוזקה בשלושה שלבים
הקוד הזדוני רץ בתוך קוד ההפעלה של התוכנה, בתהליך משלו, בכל הפעלה שלה. הוא שלח לשרת התוקפים את שם המחשב. הדומיין של השרת נראה דומה לדומיין החוקי של היצרן.
בהתאם לתשובת השרת, הקובץ הנגוע הוריד כלי איסוף מידע. הכלי רשם את שם המחשב, את התוכנות המותקנות ואת התהליכים הפעילים. לפי Kaspersky, התוקפים השתמשו בו כדי לבחור יעדים, ולא כדי לפגוע בכולם.
רק בכתריסר מחשבים הגיעה דלת אחורית מינימלית. התוקפים התקינו אותה אצל ארגונים בתחומי ממשל, מדע, תעשייה וקמעונאות ברוסיה, בבלארוס ובתאילנד. בפעם אחת בלבד הגיע שלב שלישי, QUIC RAT, אצל מוסד חינוך ברוסיה.
בכלי האיסוף יש מחרוזות בסינית, אבל Kaspersky לא מייחסת את המבצע לקבוצה מסוימת. לא ברור גם אם המטרה היא ריגול או רווח כספי. לדבריה, זו כבר ההתקפה הרביעית על שרשרת אספקה ב-2026 שהיא חוקרת, אחרי eScan, Notepad++ ו-CPUID.
איך בודקים אם התקנתם DAEMON Tools נגוע
בדקו תחילה את הגרסה. אם יש לכם 12.5.0.2421 עד 12.5.0.2434, עברו ל-12.6.0.2445 ומעלה. אחר כך חפשו את הקבצים envchk.exe, cdg.exe ו-cdg.tmp בתיקייה C:\Windows\Temp. בדקו גם תעבורה לדומיין env-check.daemontools[.]cc ולכתובת 38.180.107[.]76.
Kaspersky ממליצה לבדוק פעילות חריגה בכל מחשב עם DAEMON Tools מאז 8 באפריל, ולנקות מחשב נגוע. בארגון כדאי להפעיל יומני יצירת תהליכים ויומני PowerShell. הם מאפשרים לזהות הורדות והחדרת קוד לתהליכים אחרים. מומלץ גם להתייחס למחשב נגוע כאל מחשב שהתוקפים השתלטו עליו, ולהחליף סיסמאות שהוזנו בו.
מה קרה מאז: ב-7 במאי מסרה היצרנית Disc Soft שהחקירה הפנימית זיהתה התערבות לא מורשית בתשתית שלה. לדבריה, חבילות התקנה יצאו מסביבת הבנייה במצב נגוע. היצרנית מוסיפה שרק הגרסה החינמית Lite הכילה נוזקה, וגרסאות Ultra ו-Pro בטוחות. היא אינה מייחסת את האירוע לגורם חיצוני מסוים, ומחזקת את נהלי הבדיקה שלה.
מה זה אומר עבורכם
- בדקו גרסה: אם התקנתם DAEMON Tools Lite מאז 8 באפריל, ודאו שהיא אינה בטווח 12.5.0.2421-12.5.0.2434.
- עדכנו או הסירו: עברו ל-12.6.0.2445, או הסירו את התוכנה אם אינכם צריכים אותה.
- חפשו עקבות: בדקו קבצים חשודים ב-Temp ותעבורה לדומיין ולכתובת שצוינו.
- צמצמו את ההתקנות: התקינו בארגון רק תוכנות נחוצות, ובדקו אותן אחרי כל עדכון.
מקורות והרחבה
- DAEMON Tools supply-chain compromiseKaspersky
- Supply chain attack via DAEMON ToolsKaspersky blog
- Attackers compromised Daemon Tools software to deliver backdoorsHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
