Attacco alla Catena di Fornitura di DAEMON Tools: Compromessi gli Installatori Ufficiali con Malware

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

Attacco alla Catena di Fornitura di DAEMON Tools: Compromessi gli Installatori Ufficiali con Malware

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

Un compromesso della catena di fornitura ha colpito gli installer di DAEMON Tools Lite dalle versioni 12.5.0.2421 fino a 12.5.0.2434. Gli installer manomessi eseguivano un loader malevolo che si connetteva a infrastrutture remote, recuperava payload aggiuntivi e alla fine distribuiva sia una backdoor sia un RAT basato su QUIC. La campagna ha innescato migliaia di tentativi di infezione in più di 100 paesi, mentre un’operazione di seconda fase più ristretta era diretta a un gruppo più piccolo di vittime selezionate.

Indagine

I ricercatori di Kaspersky hanno identificato tre binari modificati — DTHelper.exe, DiscSoftBusServiceLite.exe, e DTShellHlp.exe — che contattavano un dominio malevolo e eseguivano comandi attraverso cmd.exe. I payload successivi includevano envchk.exe, cdg.exe, e cdg.tmp, che furono utilizzati per caricare una backdoor leggera e il RAT QUIC. La telemetria ha collegato l’attività a organizzazioni nei settori della vendita al dettaglio, della ricerca scientifica, del governo e della produzione.

Mitigazione

AVB Disc Soft ha rilasciato una build pulita, versione 12.6.0.2445, e ha consigliato agli utenti colpiti di rimuovere le versioni Lite compromesse, di eseguire scansioni complete del sistema e di aggiornare immediatamente. Le organizzazioni dovrebbero isolare gli endpoint con DAEMON Tools installato, verificare l’integrità degli installer firmati e monitorare i binari malevoli noti e il traffico di rete correlato.

Risposta

I difensori dovrebbero cercare i tre eseguibili compromessi, osservare le richieste HTTP in uscita verso env-check.daemontools.cc, e bloccare l’esecuzione di payload inattesi come envchk.exe and cdg.exe. Le regole di rilevamento per gli endpoint dovrebbero anche essere aggiornate per identificare il comportamento della backdoor, e qualsiasi sistema infetto dovrebbe essere messo in quarantena senza ritardi.

"grafico TB %% Definizioni delle classi classDef action fill:#99ccff classDef technique fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ffccff classDef tool fill:#cccccc %% Definizioni dei nodi initial_access_supply_chain["Accesso Iniziale – T1553.002 Sovvertire i Controlli di Fiducia: Firma del Codice L’avversario ha compromesso l’installer di DAEMON Tools Lite e firmato con un certificato legittimo."] class initial_access_supply_chain action technique_compromise_binary["Tecnica – T1554 Compromissione di Binari Software Host Binari trojanizzati DTHelper.exe, DiscSoftBusServiceLite.exe, DTShellHlp.exe distribuiti."] class technique_compromise_binary technique persistence_autostart["Persistenza – T1547 Esecuzione di Avvio o Accesso Automatico I binari malevoli impostati per l’esecuzione all’avvio del sistema tramite meccanismi di avvio automatico."] class persistence_autostart action persistence_startup_items["Tecnica – T1037.005 Script di Inizializzazione di Avvio o Accesso: Elementi di Avvio Installati come elementi di avvio."] class persistence_startup_items technique persistence_software_ext["Tecnica – T1176 Estensioni Software Utilizzate estensioni software per persistenza."] class persistence_software_ext technique execution_c2_resolution["Esecuzione – T1568 Risoluzione Dinamica L’impianto contatta envu2011check.daemontools.cc via HTTP GET per ottenere comandi."] class execution_c2_resolution action execution_cmd["Tecnica – T1059.003 Interprete dei Comandi e Scripting: Windows Command Shell Comandi eseguiti utilizzando cmd.exe."] class execution_cmd technique execution_indirect["Tecnica – T1202 Esecuzione di Comandi Indiretti Comandi eseguiti indirettamente tramite altri processi."] class execution_indirect technique execution_payload_download["Tecnica – T1204.003 Esecuzione Utente: Immagine Malevola Payload aggiuntivi envchk.exe, cdg.exe, cdg.tmp scaricati."] class execution_payload_download technique defense_process_hollowing["Evasione della Difesa – T1055.012 Iniezione di Processo: Process Hollowing La backdoor inietta codice in notepad.exe, conhost.exe."] class defense_process_hollowing technique defense_reflective_loading["Tecnica – T1620 Caricamento Riflettente del Codice Usa il caricamento riflettente per eseguire codice in memoria."] class defense_reflective_loading technique defense_junk_code["Tecnica – T1027.016 File o Informazioni Offuscati: Inserimento di Junk Code Impiegano junk code per evitare l’analisi."] class defense_junk_code technique c2_multi_stage["Comando e Controllo – T1104 Canali Multiu2011Stage Usa canali multiu2011stage per recuperare ulteriori payload."] class c2_multi_stage action c2_quic_rat["Malware – T1219 Strumenti di Accesso Remoto Rilascia QUIC RAT fornendo accesso remoto interattivo."] class c2_quic_rat malware lateral_taint_shared["Movimento Laterale – T1080 Contaminazione di Contenuti Condivisi La backdoor contamina i contenuti condivisi per diffondersi lateralmente."] class lateral_taint_shared action %% Connessioni initial_access_supply_chain –>|usa| technique_compromise_binary technique_compromise_binary –>|abilita| persistence_autostart persistence_autostart –>|include| persistence_startup_items persistence_autostart –>|include| persistence_software_ext persistence_startup_items –>|porta a| execution_c2_resolution persistence_software_ext –>|porta a| execution_c2_resolution execution_c2_resolution –>|innesca| execution_cmd execution_cmd –>|usa| execution_indirect execution_cmd –>|scarica| execution_payload_download execution_payload_download –>|fornisce| defense_process_hollowing defense_process_hollowing –>|utilizza| defense_reflective_loading defense_process_hollowing –>|utilizza| defense_junk_code defense_reflective_loading –>|supporta| c2_multi_stage defense_junk_code –>|supporta| c2_multi_stage c2_multi_stage –>|consegna| c2_quic_rat c2_quic_rat –>|abilita| lateral_taint_shared "

Flusso di Attacco

Narrazione dell’Attacco & Comandi:
Un attaccante che ha compromesso la catena di fornitura di DAEMON Tools impianta una copia malevola di calc.exe rinominato in DTHelper.exe in una posizione che verrà avviata all’avvio del sistema (es., la chiave HKLMSoftwareMicrosoftWindowsCurrentVersionRun ). Ai fini del test simuliamo l’esecuzione immediata del binario per generare l’esatto evento di creazione del processo che la regola monitora.

Passaggi:
1. Copia un eseguibile innocuo (calc.exe) in C:TempDTHelper.exe.
2. Registra il binario nella chiave di registro Run per emulare l’“esecuzione di avvio”.
3. Forza il sistema a eseguire l’entry Run (o richiama direttamente il binario).

Script di Test di Regressione:

# -------------------------------------------------------------
# Script di simulazione per l'esecuzione di avvio di DAEMON Tools trojanizzati
# -------------------------------------------------------------
$tempPath = "C:TempDTHelper.exe"
$runKey  = "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"
$runName = "DAEMONHelper"

# 1. Distribuisci l'eseguibile dall'aspetto malevolo (usando calc.exe come segnaposto)
Copy-Item -Path "$env:SystemRootSystem32calc.exe" -Destination $tempPath -Force

# 2. Registrarlo per l'esecuzione automatica al login (simula la persistenza)
New-ItemProperty -Path $runKey -Name $runName -Value $tempPath -PropertyType String -Force

# 3. Innesca l'esecuzione immediatamente per scopi di test
Start-Process -FilePath $tempPath

# Stampa un marcatore per la verifica del test
Write-Host "`n[+] DTHelper.exe eseguito e voce Run creata."

Comandi di Pulizia:

# -------------------------------------------------------------
# Pulizia per la simulazione di DAEMON Tools
# -------------------------------------------------------------
$tempPath = "C:TempDTHelper.exe"
$runKey  = "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"
$runName = "DAEMONHelper"

# Rimuovere la voce del registro Run
Remove-ItemProperty -Path $runKey -Name $runName -ErrorAction SilentlyContinue

# Interrompi il processo se ancora in esecuzione
Get-Process -Name "DTHelper" -ErrorAction SilentlyContinue | Stop-Process -Force

# Elimina l'eseguibile copiato
Remove-Item -Path $tempPath -Force -ErrorAction SilentlyContinue

Write-Host "`n[+] Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis