セキュリティ

DAEMON Tools公式インストーラー、1か月汚染が発覚

公式サイトから配布されたDAEMON Toolsの正規インストーラーが、4月8日から約1か月にわたって何者かに改ざんされ、開発元の正規署名つきのままバックドアを世界100か国以上に配布し続けていた。カスペルスキーが5月5日に公表した。

情報の灯台

2026年5月6日 17:5600

公式サイトから、正規署名つきで配布されていた

サプライチェーン攻撃の中でも、この事案はかなり質が悪い。

カスペルスキーのGlobal Research and Analysis Team(GReAT)が突き止めたのは、DAEMON Tools(デーモンツール)の公式インストーラーが2026年4月8日からトロイの木馬化されており、対象バージョンは12.5.0.2421から12.5.0.2434までという事実だ。配布元は正規の公式サイト、ファイルには開発元AVB Disc Softの正規デジタル証明書による署名が入っている。利用者から見れば、何ひとつ怪しい挙動はない。

問題のインストーラーで侵害されているのは三つのバイナリ、DTHelper.exe、DiscSoftBusServiceLite.exe、DTShellHlp.exe。いずれもDAEMON Toolsのインストール先(例:C:\Program Files\DAEMON Tools Lite)に置かれる中核的な実行ファイルで、PCの起動時に自動起動する種類のものだ。

カスペルスキーの解析によれば、攻撃者はこれらの実行ファイルのCRT初期化コード(C Runtimeの初期化処理、プログラム本体の起動前に走る部分)にバックドアを埋め込んでいた。利用者がDAEMON Toolsを操作する以前、Windowsの起動と同時に専用スレッドが立ち上がり、攻撃者のサーバーに静かにGETリクエストを送り続ける仕組みだ。

https://env-check.daemontools[.]cc/2032716822411?s=<full computer name>

通信先のenv-check.daemontools[.]ccは、正規ドメインdaemon-tools[.]ccを「タイポスクワット」(類似ドメインによる紛らわしい登録)で偽装したもの。WHOIS情報によれば、この悪性ドメインは攻撃開始の約1週間前にあたる3月27日に登録されていた。準備の周到さがうかがえる。

「広く撒いて、選んで刺す」二段構えの設計

数千台規模の感染と、十数台への深掘り。この落差が、今回の攻撃の本性を物語る。

カスペルスキーが観測したテレメトリでは、100か国以上、数千件の感染試行が確認されている。被害が多かったのはロシア、ブラジル、トルコ、スペイン、ドイツ、フランス、イタリア、中国。日本の被害は本記事執筆時点で公表データに含まれていないが、グローバルに使われているソフトの性質上、国内の利用者にも影響が及ぶ可能性は十分にある。

最初に降ってくるペイロードは情報収集ツール(envchk.exe)で、MACアドレス、ホスト名、DNSドメイン名、稼働中のプロセス一覧、インストール済みソフト一覧、システムロケールを吸い上げてC2サーバー(38.180.107[.]76)に送信する。攻撃者はここで届いたプロファイルを眺め、「価値ある標的」を選別する。

そして次の段階で、ふるいにかけた末のごく一部にだけ、より重い実装が降ろされる。それが軽量バックドア(cdg.exeとcdg.tmpの組み合わせ)だ。コマンド実行、ファイルダウンロード、メモリ上でのシェルコード実行といった、典型的な遠隔操作の足場となる機能を備えている。

ここで興味深い痕跡が残されている。展開コマンドの中に「cipher」を「chiper」と打ち間違えていたり、「crypto.dll」の頭文字「c」が抜け落ちていたりする箇所がある。これはおそらく、攻撃者が標的の前に座って手作業で打鍵していた証拠であり、自動化された大量配布ではないことを示している。狙いを定めた人間が、画面の向こう側にいた。

QUIC RATと、中国語話者の足跡

カスペルスキーの調査によれば、感染システムのうち約10%が企業・組織のものだった。深掘りバックドアが届けられたのは、そのうちさらに絞り込まれた十数台にとどまる。

感染試行は数千件、しかし深掘り対象は十数台。広く撒いて、選んで刺す——典型的な標的型サプライチェーン攻撃の構図だ。

受け取り先はロシア、ベラルーシ、タイの政府、科学、製造、小売の各組織。さらに踏み込んだ実装である「QUIC RAT」は、ロシアの教育機関1組織でしか観測されていない。

QUIC RATはC++で書かれ、制御フローのフラット化で難読化された相当に手の込んだバックドアだ。通信プロトコルとしてHTTP、UDP、TCP、WSS、QUIC、DNS、HTTP/3に対応し、notepad.exeやconhost.exeといったWindowsの正規プロセスにペイロードを注入する能力を持つ。検出回避のために、誰も疑わないプロセスの内側に潜り込むわけだ。

帰属はどうか。カスペルスキーは特定のグループには結びつけていないが、情報収集ツールのコード内には中国語の文字列が含まれており、攻撃者が中国語話者である可能性を示している。TechCrunchの取材に対しても、カスペルスキーは中国語話者グループを示唆する分析結果を共有している。確定ではない、しかし無視もできない手がかりだ。

4か月で4件、「月例イベント」化するサプライチェーン攻撃

ここからが、もっと不安な話になる。

2026年は1月にeScan、2月にNotepad++、4月にCPU-Z、そして5月のDAEMON Toolsと、カスペルスキーが調査した大規模なソフトウェアサプライチェーン攻撃だけで、4か月連続で月に1件のペースが続いている。これはもう「珍しい事案」ではなく、毎月の定期イベントになりつつある。

カスペルスキーのシニアセキュリティリサーチャー、ゲオルギー・クチェリン(Georgy Kucherin)は、検出までに約1か月かかったことを問題視している。「公式ベンダーから直接ダウンロードしたデジタル署名つきソフトウェアを利用者は無条件に信頼する。だからこそ、この種の侵害は従来の境界防御をすり抜ける」という趣旨のコメントだ。

この検出までの時間は、2023年に発生した3CXサプライチェーン攻撃に匹敵する規模だという。3CXは北朝鮮のラザルスグループの関与が後に判明し、世界中の企業を巻き込んだ大事件として記憶されている。それと同じ深さで、約1か月のあいだ、攻撃者が利用者のWindowsの中に居座っていた可能性がある。

「ゼロトラスト」を本気で実装する局面に来ている

カスペルスキーが繰り返し強調しているのはこの一点だ。「公式サイトだから安全」「正規署名があるから安全」という常識が崩れた以上、組織は導入する全ソフトウェアを継続的に監査する以外に守る手段がない。家庭ユーザーでも事情は同じで、信頼できるアンチウイルス製品で常時監視するくらいしか現実的な防衛策はない。

利用者がいま取るべきこと

DAEMON Toolsを使っている、あるいは過去に使っていた覚えがあるなら、対応はシンプルだ。

まず、4月8日以降にDAEMON Tools Lite(あるいはその他のエディション)をインストール、もしくはアップデートしているかどうかを確認する。該当バージョンは12.5.0.2421から12.5.0.2434まで。次に、信頼できるアンチウイルスソフトでフルスキャンを実行する。組織のIT担当者であれば、ネットワーク内でDAEMON Toolsが入った端末を洗い出し、隔離したうえで、4月8日以降の異常なネットワーク通信やプロセス起動の痕跡を確認するのが妥当な動きだ。侵害の痕跡(IoC)はカスペルスキーがSecurelistに公開しているハッシュ値とドメイン情報を参照できる。

そして、これが地味だが重要なのだが、AVB Disc Softからの公式アナウンスを待ちすぎないほうがいい。カスペルスキーは開発元への通知済みと公表しているが、Hacker Newsの取材に対するAVB Disc Softの回答は「報告は認識しており、現在状況を調査している。最優先の問題として扱っている」という慎重な内容にとどまっており、本記事執筆時点で公式サイト側での対応状況や声明は明確に出ていない。

公式の正規署名は、もはや「これは安全だ」と言い切る根拠ではない。月に1件のペースで露見するこの種の事件は、おそらく氷山の一角だ。

参照元