人気ディスクイメージマウントアプリ「Daemon Tools」が、4月8日から開始されたサプライチェーン攻撃の標的となり、公式アップデートを通じてマルウェアが配布されました。セキュリティ企業のKasperskyは、100カ国以上で数千台のマシンが感染したと報告しており、ユーザーに対して直ちにシステムのスキャンを行うよう呼びかけています。
Kasperskyは5月5日、Daemon Toolsに対する攻撃が4月8日に始まり、約1ヶ月間継続していたことを明らかにしました。開発元の公式デジタル証明書で署名された悪意のあるインストーラーが、AVB開発者のウェブサイトから配布されていました。影響を受けたのはWindows版のバージョン12.5.0.2421から12.5.0.2434で、マルウェアは起動時にアクティブ化され、MACアドレス、ホスト名、インストールされているソフトウェアなどのデータを収集し、攻撃者が制御するサーバーへ送信していました。Kasperskyのテレメトリデータによると、攻撃はロシア、ブラジル、トルコ、スペイン、ドイツ、フランス、イタリア、中国を中心に数千台のマシンに及びました。全体の約10%は小売、科学、政府、製造などの企業や組織のものでした。高度なバックドアが確認されたのは約12システムのみで、コマンド実行やファイルダウンロードを可能にする簡易的なものや、ロシアの教育機関のマシンで発見されたより洗練された「QUIC RAT」などが含まれています。Kasperskyの研究者は、「サプライチェーン攻撃の分析に関する長期的な経験に基づき、攻撃者は極めて巧妙な手法でDAEMON Toolsの侵害を組織したと結論付けられる」と述べています。また、2023年に発生した3CX攻撃など、検知までに約1ヶ月を要した過去の事例との類似性を指摘しました。Kasperskyはユーザーに対し、アンチウイルスソフトでマシンをスキャンし、レポートに記載された侵害の兆候を確認するよう推奨しています。特にTempやAppDataなどのディレクトリからnotepad.exeなどのプロセスへ不審なコードが注入されていないか注意が必要です。現在、Kasperskyおよび開発元のAVBから追加の詳細は提供されていません。
