Malware Tersebar lewat Daemon Tools, Target Spesifik

Sejak 08 April 2026, peretas telah menargetkan program Daemon Tools, sebuah aplikasi pemindaian disk image yang populer di kalangan pengguna Windows. Serangan ini terjadi melalui situs resmi pengembang, di mana installer yang tampak asli berisi kode berbahaya.

Para peneliti keamanan siber di Kaspersky menemukan bahwa malware tersebar di beberapa versi Daemon Tools Lite, mulai dari 12.5.0.2421 hingga 12.5.0.2434. Keberhasilan peretas terletak pada penggunaan AVB Disc Soft—pengembang asli—sebagai pemilik sertifikat digital. Sertifikat ini sah, sehingga sistem keamanan tidak dapat menandai installer sebagai ancaman.

Serangan ini memanfaatkan tiga file biner yang biasanya berada di direktori instalasi Windows: DTHelper.exe, DiscSoftBusServiceLite.exe, dan DTShellHlp.exe. Ketiga file tersebut berada di C:\Program Files\Daemon Tools Lite. Ketika salah satu file dijalankan, malware langsung aktif dan mengirimkan data ke URL berbahaya yang meniru domain resmi Daemon Tools.

Di tahap awal infeksi, malware mengumpulkan informasi sistem secara ekstensif. Data yang disedot meliputi alamat MAC, nama host, daftar aplikasi yang terinstal, proses yang berjalan, konfigurasi jaringan, dan lokasi pengguna. Informasi ini digunakan untuk membuat profil target sebelum memulai aktivitas lebih lanjut.

Walaupun Kaspersky belum dapat mengidentifikasi kelompok peretas yang bertanggung jawab, kode awal serangan menunjukkan kemungkinan pelaku berbahasa Mandarin. Hal ini menambah kompleksitas dalam menentukan asal peretas.

Korban utama serangan ini tersebar di lebih dari 100 negara, termasuk Rusia, Brasil, Turki, Spanyol, Jerman, Prancis, Italia, dan China. Namun, payload tingkat kedua hanya dikirim ke belasan perangkat. Target spesifik tersebut merupakan perusahaan ritel raksasa, pabrik manufaktur, organisasi ilmiah, lembaga pemerintah, dan institusi pendidikan yang berlokasi di Rusia, Belarusia, dan Thailand.

Karena seleksi target yang sangat ketat, para peneliti berpendapat bahwa operasi ini dirancang untuk spionase, menargetkan individu dan organisasi tertentu, bukan sekadar kejahatan siber acak. Seluruh pengguna Daemon Tools disarankan untuk segera memindai sistem mereka dengan antivirus, serta memeriksa adanya kode mencurigakan di direktori publik seperti Temp, AppData, atau Public.

Setelah menemukan bukti, Kaspersky melaporkan temuan ini kepada AVB Disc Soft dan menunggu klarifikasi lebih lanjut. Pengguna diingatkan untuk tetap waspada terhadap instalasi perangkat lunak dari situs resmi, meskipun tampak sah.

Serangan ini menyoroti betapa pentingnya memverifikasi integritas perangkat lunak, bahkan ketika sumbernya tampak terpercaya. Keamanan digital tidak hanya bergantung pada sertifikat, melainkan juga pada kebijakan pemantauan dan respons cepat terhadap ancaman yang muncul.