有国外安全机构近日披露，主流磁盘镜像挂载工具DAEMON Tools遭遇供应链投毒。自4月8日起，其官方网站被上传了12.5.0.2421至12.5.0.2434等多个恶意版本，影响超过100个国家和地区的数千台设备，目前攻击仍在进行中。

微步情报局监测发现，在国内已有数十家用户感染恶意代码，建议用户立即排查C2请求env-check.daemontools.cc，及时做好应急处置，排查方法和处置建议详见后文。

DAEMON Tools是全球广泛使用的磁盘镜像挂载工具，攻击者篡改了官方安装程序，恶意文件均具备开发商 AVB Disc Soft 有效数字签名。恶意程序嵌入开机自启逻辑，设备启动即激活后门并反连恶意 C2。攻击分两步实施：先批量部署信息收集器窃取系统信息，再定向投放极简后门、QUIC RAT远控木马，实现精准控制与窃密。

攻击载荷

信息采集器envchk.exe：广泛投放，采集MAC、主机名、DNS、进程列表、已安装软件等，用于筛选高价值目标。

极简后门cdg.exe：精准投放至已筛选目标，支持文件下载、shell命令执行及shellcode内存执行。

远控木马QUIC RAT：仅在极少量高价值机器上发现，支持HTTP/UDP/TCP/WSS/QUIC/DNS/HTTP/3多协议通信，可向notepad.exe和conhost.exe注入恶意载荷。

受影响范围

软件版本：DAEMON Tools 12.5.0.2421 ~ 12.5.0.2434

恶意组件：DTHelper.exe、DiscSoftBusServiceLite.exe、DTShellHlp.exe

默认路径：C:\Program Files\DAEMON Tools Lite\

排查方法

● 查询是否安装DAEMON Tools的12.5.0.2421-12.5.0.2434版本

● 查询网络出口流量中是否含有域名env-check.daemontools.cc的请求

● 在临时目录C:\Windows\Temp\是否存有文件envchk.exe，cdg.exe，imp.tmp，piyu.exe

处置建议

● 卸载、暂停使用DAEMON Tools恶意版本。

● 在网络侧阻断env-check.daemontools.cc的反连请求。

● 清除envchk.exe、cdg.exe、cdg.tmp等恶意载荷。

● 重置系统密码、SSH 密钥、Git 凭证、API 密钥、业务账号等敏感凭证。

附录：IOC 

感染的 DAEMON Tools Lite 安装程序

9ccd769624de98eeeb12714ff1707ec4f5bf196d(12.5.0.2421)

50D47ADB6DD45215C7CB4C68BAE28B129CA09645(12.5.0.2422)

0c1d3da9c7a651ba40b40e12d48ebd32b3f31820(12.5.0.2423)

28b72576d67ae21d9587d782942628ea46dcc870(12.5.0.2424)

46b90bf370e60d61075d3472828fdc0B85ab0492(12.5.0.2430)

6325179f442e5b1a7716580cd70dea644ac9ecd18(12.5.0.2431)

BD8fbb5E6842df8683163adbd6A36136164EAC58(12.5.0.2433)

15ed5c3384e12fe4314ad6edbd1dcccf5ac1ee29(12.5.0.2434)

感染的DiscSoftBusServiceLite.exe文件

524d2d92909eef80c406e87a0fc37d7bb4dadc14

427f1728682ebc7ffe3300fef67d0e3cb6b62948

8e7eb0f5ac60dd3b4a9474d2544348c3bda48045

00e2df8f42d14072e4385e500d4669ec783aa517

aea55e42c4436236278e5692d3dcbcbe5fe6ce0b

0456E2f5F56ec8ed16078941248e7cbba9f1c8eb

9a09AD7b7E9ff7a465AA1150541E231189911afb

8d435918d304fc38d54b104a13f2e33e8e598c82

64462f751788f529c1eb09023b26a47792ecdc54

其他恶意文件hash

2d4eb55b01f59C62C6de9aacba9b47267d398fe4

9dbfc23ebf3c0b56d2f93116abb32656C42E4

295ce86226b933e7262c2ce4b36bdd6c389aaef

C2

env-check.daemontools.cc

38.180.107.76