Компания Kaspersky Lab сообщила, что веб‑сайт популярного эмулятора дисков Daemon Tools был заражён вредоносным кодом более месяца. Инфекция затронула все версии программы, выпущенные с 12.5.0.2421 по 12.5.0.2434, и ставила под угрозу пользователей, установивших приложение с начала апреля 2026 года.

Что произошло

По данным Kaspersky Lab, атакующий из Китая разместил вредоносные .exe‑файлы в установочных пакетах Daemon Tools. При запуске программы файлы автоматически регистрируются в автозапуске Windows и активируют бэкдор, который передаёт MAC‑адрес, сведения о DNS‑сервере и другие данные на удалённый сервер.

Вредоносный модуль способен выполнять команды в командной строке, загружать дополнительные файлы‑угрозы и заражать системные процессы, включая notepad.exe.

Как работает бэкдор

После установки заражённого пакета вредоносный код копируется в каталог программы, добавляется запись в реестр для автозапуска и открывается сетевое соединение. Передача данных происходит в зашифрованном виде, что затрудняет обнаружение средствами обычных антивирусов.

Помимо сбора идентификационных данных, бэкдор позволяет злоумышленнику загружать новые компоненты и использовать заражённый компьютер в ботнет‑сети.

Масштаб угрозы

Атака охватила более 100 стран, согласно заявлению Kaspersky Lab. В 2025 году цепочки поставок программного обеспечения стали доминирующим вектором угроз, охватывая открытые репозитории, расширения браузеров, SaaS/CI‑CD и поставщиков управляемых услуг (Group‑IB, 2026).

По данным аналитиков F6 / РБК, 66 % всех инцидентов информационной безопасности в России в 2025 году были связаны с загрузкой пользователями программ с вредоносной нагрузкой. Эти данные подтверждают высокий уровень риска для российских пользователей.

Сравнительно, в 2025 году была зафиксирована атака на механизм обновлений Notepad++ с июля по декабрь, продемонстрировавший аналогичный паттерн длительной компрометации. По оценкам Sonatype, во втором квартале 2025 года в открытых репозиториях появилось 16 279 новых вредоносных пакетов, а общая база достигла примерно 845 204 штук.

Kaspersky также описал серию компрометаций в 2025 году, включая внедрение бэкдоров в расширения Magento и массовые заражения npm‑пакетов.

Что делать пользователям

Эксперты настоятельно рекомендуют удалить все версии Daemon Tools от 12.5.0.2421 до 12.5.0.2434. Для восстановления безопасной работы следует установить исправленную версию 12.6.0.2445, выпущенную Kaspersky Lab.

Пользователям рекомендуется выполнить полное сканирование системы с актуальными антивирусными базами, проверить автозапуск в реестре и удалить оставшиеся файлы Daemon Tools из папки Program Files. При подозрении на дальнейшую компрометацию следует обратиться к специалистам по кибербезопасности.

Перспективы

Инцидент подчёркивает уязвимость цепочек поставок программного обеспечения, особенно для продуктов, распространяемых через официальные сайты. Для российских организаций это сигнал к усилению контроля над источниками загрузок и внедрению многоуровневой защиты при установке сторонних программ.

Ожидается, что в 2026 году поставщики будут усиливать проверку подписи и целостности пакетов, а также расширять сотрудничество с исследовательскими компаниями для быстрого реагирования на подобные угрозы.