Co się wydarzyło? - najważniejsze fakty o ataku na łańcuch dostaw
Popularne oprogramowanie Daemon Tools Lite jest od 8 kwietnia 2024 roku dotknięte poważnym atakiem na łańcuch dostaw. Kto pobrał oprogramowanie od tej daty z oficjalnej strony producenta, ściągnął tym samym niepostrzeżenie złośliwe oprogramowanie na swój komputer. Analitycy wirusów z Kaspersky odkryli kompromitację i ostrzegają przed zainfekowanymi pobraniami.
Szczególnie problematyczne: strojanizowane instalatory są podpisane oficjalnymi certyfikatami cyfrowymi producenta i sprawiają dlatego na pierwszy rzut oka wrażenie całkowicie godnych zaufania. W momencie zgłoszenia pobrania na oficjalnej stronie były nadal zainfekowane, ponieważ producent AVB Disc Soft dotąd nie zareagował na próby kontaktu ze strony Kaspersky.
Szczegóły - skala i analiza kompromitacji
Badacze Kaspersky natknęli się na zainfekowane instalatory na początku maja i mogli następnie prześledzić kompromitację wstecz do 8 kwietnia. Dotknięte są wersje instalatorów Daemon Tools i Daemon Tools Lite od 12.5.0.2421 do 12.5.0.2434.
Analiza wersji 12.5.0.233b instalatora Lite na platformie VirusTotal potwierdza zarażenie malwarem przy heurystycznym wykryciu przez Kaspersky (HEUR:Trojan.Win64.Agent.gen). Podkreśla to autentyczność ostrzeżenia przed aktualnie dostępnymi pobraniami.
Globalne skutki z ukierunkowanym doładowywaniem
Telemetria czujników Kaspersky pokazuje światową skalę ataku: osoby i organizacje z ponad 100 krajów zainstalowały zainfekowane oprogramowanie. Daemon Tools wykorzystywane jest głównie do pracy z obrazami dysków, takimi jak pliki ISO, i jest odpowiednio szeroko rozpowszechnione.
Szczególnie znaczące jest jednak to, że ze wszystkich dotkniętych systemów jedynie kilkanaście doładowało dalsze etapy malware'u. Te ukierunkowane doładowania dotyczyły organizacji z obszarów handlu detalicznego, nauki, administracji i przemysłu wytwórczego. Dotknięte ofiary pochodzą z Rosji, Brazylii, Turcji, Hiszpanii, Niemiec, Francji, Włoch i Chin – to wyraźna przesłanka ukierunkowanych ataków na konkretne cele.
Klasyfikacja - rosnące zagrożenie atakami na łańcuch dostaw
Incydent z Daemon Tools wpisuje się w niepokojącą serię ataków na łańcuch dostaw. Na podstawie analizy malware'u badacze Kaspersky przypisują napastnikom język chiński, co wskazuje na profesjonalnych i wspieranych przez państwo aktorów.
Ataki na łańcuch dostaw wyraźnie nasiliły się w ostatnim czasie. Pod koniec 2023 roku dotknięty był już popularny edytor tekstu Notepad++, a w połowie kwietnia 2024 roku również strona CPUID, na której znajdują się popularne narzędzia CPU-Z i HWMonitor, rozpowszechniała malware przez skompromitowane pobrania.
Sposób działania złośliwego oprogramowania
Wprowadzony do Daemon Tools malware zbiera obszerne informacje systemowe, w tym dane sprzętowe, takie jak adresy MAC, informacje o uruchomionych procesach i zainstalowanym oprogramowaniu. Dodatkowo przynosi ze sobą minimalistyczny backdoor, który może doładowywać dalszy złośliwy kod.
Ta funkcjonalność czyni malware idealnym narzędziem szpiegostwa i dalszych ataków. Fakt, że dalszy malware doładowywany był tylko u wybranych celów, podkreśla ukierunkowany charakter ataku.
Wskazówki praktyczne - środki ochrony i reakcja
Organizacje i użytkownicy prywatni powinni niezwłocznie sprawdzić, czy od 8 kwietnia 2024 roku pobierali Daemon Tools lub Daemon Tools Lite. Dotknięte systemy należy uznać za skompromitowane i wdrożyć odpowiednie środki bezpieczeństwa.
Na przyszłość zaleca się wielowarstwową strategię bezpieczeństwa:
- regularne sprawdzanie pobrań aktualnym oprogramowaniem antywirusowym
- monitorowanie zmian w systemie po instalacjach oprogramowania
- wdrożenie systemów Endpoint Detection and Response (EDR)
- regularne audyty bezpieczeństwa infrastruktury IT
Kaspersky udostępnia w swojej szczegółowej analizie obszerną listę Indicators of Compromise (IOC), którą zespoły bezpieczeństwa IT mogą wykorzystać do sprawdzenia swoich systemów.
Perspektywy - wyzwania dla bezpieczeństwa IT
Incydent z Daemon Tools uwidacznia rosnące wyrafinowanie ataków na łańcuch dostaw. Wykorzystanie oficjalnych certyfikatów cyfrowych i ukierunkowane doładowywanie malware'u tylko u wybranych ofiar pokazują, jak przemyślane stały się nowoczesne cyberataki.
Dla przedsiębiorstw coraz ważniejsze staje się zabezpieczanie nie tylko własnej infrastruktury IT, lecz także monitorowanie łańcucha zaufania swoich dostawców oprogramowania. Wymaga to nowych podejść w strategii cyberbezpieczeństwa i wzmocnionej współpracy między producentami a badaczami bezpieczeństwa.
Fakt, że producent AVB Disc Soft dotąd nie zareagował na ostrzeżenia, podkreśla konieczność lepszych dróg komunikacji i procesów reagowania w branży. Do czasu usunięcia problemu przez producenta użytkownicy powinni powstrzymać się od pobierania dotkniętego oprogramowania i korzystać z alternatywnych rozwiązań do pracy z obrazami dysków.
