Cosa è successo? - I fatti principali dell'attacco alla supply chain
Il popolare software Daemon Tools Lite è interessato dall'8 aprile 2024 da un grave attacco alla supply chain. Chi ha scaricato il software da tale data dal sito ufficiale del produttore ha portato inconsapevolmente del malware sul proprio computer. Gli analisti antivirus di Kaspersky hanno scoperto la compromissione e mettono in guardia dai download infetti.
Particolarmente problematico: gli installer trojanizzati sono firmati con i certificati digitali ufficiali del produttore e appaiono quindi, a prima vista, del tutto affidabili. Al momento della segnalazione i download sul sito ufficiale erano ancora infetti, poiché il produttore AVB Disc Soft non ha finora risposto ai tentativi di contatto di Kaspersky.
I dettagli - Portata e analisi della compromissione
I ricercatori di Kaspersky si sono imbattuti negli installer infetti all'inizio di maggio e hanno successivamente potuto ricostruire la compromissione fino all'8 aprile. Sono interessate le versioni degli installer di Daemon Tools e Daemon Tools Lite dalla 12.5.0.2421 alla 12.5.0.2434.
Un'analisi della versione 12.5.0.233b dell'installer Lite sulla piattaforma VirusTotal conferma la presenza del malware con un rilevamento euristico di Kaspersky (HEUR:Trojan.Win64.Agent.gen). Ciò conferma l'attendibilità dell'allerta relativa ai download attualmente disponibili.
Effetti globali con download mirati di ulteriori componenti
La telemetria dei sensori di Kaspersky mostra la portata mondiale dell'attacco: privati e organizzazioni di oltre 100 Paesi hanno installato il software infetto. Daemon Tools viene utilizzato principalmente per lavorare con immagini disco come i file ISO ed è di conseguenza molto diffuso.
Di particolare rilievo è tuttavia il fatto che, di tutti i sistemi interessati, solo una dozzina abbia scaricato ulteriori stadi di malware. Questi download mirati hanno riguardato organizzazioni dei settori commercio al dettaglio, ricerca scientifica, pubblica amministrazione e industria manifatturiera. Le vittime coinvolte provengono da Russia, Brasile, Turchia, Spagna, Germania, Francia, Italia e Cina - un chiaro indizio di attacchi mirati contro obiettivi specifici.
Inquadramento - Minaccia crescente degli attacchi alla supply chain
Il caso Daemon Tools si inserisce in una preoccupante serie di attacchi alla supply chain. Sulla base dell'analisi del malware i ricercatori di Kaspersky attribuiscono gli attacchi ad autori di lingua cinese, il che lascia supporre attori professionali e sostenuti da uno Stato.
Gli attacchi alla supply chain sono nettamente aumentati negli ultimi tempi. Alla fine del 2023 era già stato colpito il popolare editor di testo Notepad++ e a metà aprile 2024 anche il sito CPUID, che ospita i noti strumenti CPU-Z e HWMonitor, ha distribuito malware attraverso download compromessi.
Come funziona il malware
Il malware introdotto in Daemon Tools raccoglie numerose informazioni di sistema, tra cui dati hardware come gli indirizzi MAC, informazioni sui processi in esecuzione e sul software installato. Inoltre porta con sé una backdoor minimalista in grado di scaricare ulteriore codice dannoso.
Questa funzionalità rende il malware uno strumento ideale per lo spionaggio e per attacchi successivi. Il fatto che ulteriore malware sia stato scaricato solo presso obiettivi selezionati sottolinea il carattere mirato dell'attacco.
Consigli pratici - Misure di protezione e reazione
Organizzazioni e utenti privati dovrebbero verificare immediatamente se dall'8 aprile 2024 hanno scaricato Daemon Tools o Daemon Tools Lite. I sistemi interessati dovrebbero essere considerati compromessi e occorre adottare le relative misure di sicurezza.
Per il futuro si consiglia una strategia di sicurezza multilivello:
- Verifica regolare dei download con software antivirus aggiornato
- Monitoraggio delle modifiche di sistema dopo le installazioni di software
- Implementazione di sistemi di Endpoint Detection and Response (EDR)
- Audit di sicurezza periodici dell'infrastruttura IT
Nella sua analisi dettagliata Kaspersky mette a disposizione un ampio elenco di Indicators of Compromise (IOC) che i team di sicurezza IT possono utilizzare per verificare i propri sistemi.
Prospettive - Le sfide per la sicurezza IT
Il caso Daemon Tools evidenzia la crescente sofisticazione degli attacchi alla supply chain. L'utilizzo di certificati digitali ufficiali e il download mirato di malware solo presso vittime selezionate mostrano quanto siano diventati raffinati i moderni attacchi informatici.
Per le aziende diventa sempre più importante non solo mettere in sicurezza la propria infrastruttura IT, ma anche monitorare la catena di fiducia dei propri fornitori di software. Ciò richiede nuovi approcci nella strategia di cybersecurity e una maggiore collaborazione tra produttori e ricercatori di sicurezza.
Il fatto che il produttore AVB Disc Soft non abbia finora reagito agli avvisi sottolinea la necessità di migliori canali di comunicazione e processi di risposta nel settore. Fino alla bonifica da parte del produttore, gli utenti dovrebbero evitare di scaricare il software interessato e utilizzare soluzioni alternative per lavorare con le immagini disco.
