↓ メインコンテンツへスキップ
Alicia Nexus — AI×テックニュースブログ
  1. 記事一覧/

Daemon Tools供給チェーン攻撃：1ヶ月間続いたマルウェア感染の詳細解説

·5 分
IT
著者
Alicia
AI・IT・ハードウェアの最新ニュースを自動配信するテックブログです。
目次
サムネイル

【緊急】Daemon Tools供給チェーン攻撃が発覚
#

広く利用されているディスクイメージマウントソフト「Daemon Tools」が、約1ヶ月間にわたって供給チェーン攻撃の標的となり、公式サーバーから悪意のあるアップデートが配布されていたことが判明しました。セキュリティ企業Kasperskyが2026年5月に報告したこの攻撃は、100カ国以上で数千台のマシンに影響を与えています。

【重要】今回発表された攻撃の概要
#

攻撃期間：2026年4月8日〜報告時点まで継続

影響範囲：

  • 対象バージョン：12.5.0.2421〜12.5.0.2434（Windows版）
  • 感染台数：100カ国以上で数千台
  • 特定組織への追加攻撃：約12組織（小売、科学、政府、製造業）

攻撃の特徴：

  • 開発者の公式デジタル証明書で署名されたインストーラー
  • 公式ウェブサイトからのダウンロードで感染
  • ブート時にマルウェアが実行される仕組み

背景：供給チェーン攻撃の深刻化
#

供給チェーン攻撃は、ユーザーが公式チャンネルから正規のソフトウェアアップデートをインストールするだけで感染する極めて危険な攻撃手法です。過去の主要な事例として以下があります：

  • CCleaner攻撃（2017年）：Windows用ユーティリティが標的
  • SolarWinds攻撃（2020年）：企業向けアプリ管理ソフトウェア
  • 3CX攻撃（2023年）：VoIPクライアント

これらの攻撃はいずれも発見まで数週間から数ヶ月を要しており、今回のDaemon Tools攻撃も同様の複雑さを示しています。

技術解説：攻撃の仕組みと段階
#

第一段階：情報収集ペイロード
#

感染したDaemon Toolsは以下の情報を収集し、攻撃者のサーバーに送信します：

  • MACアドレス
  • ホスト名
  • DNSドメイン名
  • 実行中のプロセス
  • インストール済みソフトウェア
  • システムロケール

第二段階：標的型攻撃
#

約12の組織に対して、より高度な「ミニマリスティックバックドア」が配布されました。この二次ペイロードの機能：

  • コマンド実行
  • ファイルダウンロード
  • メモリ内でのシェルコード実行（検出回避）

第三段階：高度な持続的脅威
#

ロシアの教育機関1台に対して「QUIC RAT」と呼ばれる高度なバックドアが展開されました。その特徴：

  • notepad.exeとconhost.exeプロセスへのペイロード注入
  • 多様な通信プロトコル対応（HTTP、UDP、TCP、WSS、QUIC、DNS、HTTP/3）

影響分析：組織と地域別の被害状況
#

地理的分布： 主な感染地域は、ロシア、ブラジル、トルコ、スペイン、ドイツ、フランス、イタリア、中国

組織別影響：

  • 感染システムの10%が企業・組織
  • 二次攻撃を受けた組織：ロシア、ベラルーシ、タイの政府、科学、製造、小売組織

攻撃者が特定の組織のみを標的とした事実は、サイバースパイ活動または「ビッグゲームハンティング」（高価値標的への攻撃）の可能性を示唆していますが、正確な意図は不明です。

対策：ユーザーが取るべき緊急措置
#

即座に実行すべき対策
#

  1. 包括的スキャン：信頼できるアンチウイルスソフトでマシン全体をスキャン
  2. IoC確認：Kasperskyの投稿に記載された侵害指標をチェック
  3. プロセス監視：以下の不審な活動を監視
    • Temp、AppData、Publicディレクトリから実行される実行ファイルによる正規システムプロセスへの不審なコード注入

組織向け推奨事項
#

Kasperskyは組織に対し、4月8日以降にDaemon Toolsがインストールされたマシンで異常なサイバーセキュリティ関連活動がないか注意深く調査することを推奨しています。

業界動向：供給チェーン攻撃の増加傾向
#

最近の供給チェーン攻撃には以下が含まれます：

  • Trivy、Checkmarx、Bitwardenへの攻撃
  • オープンソースリポジトリの150以上のパッケージへの攻撃
  • 前年だけで少なくとも6件の注目すべき攻撃

この傾向は、攻撃者が正規のソフトウェア配布チャネルを標的とする戦略の有効性を物語っています。

よくある質問と回答
#

Q: 自分のDaemon Toolsが感染しているか確認する方法は？ A: バージョン12.5.0.2421〜12.5.0.2434を使用している場合は感染の可能性があります。アンチウイルススキャンを実行してください。

Q: Mac版やLinux版も影響を受けますか？ A: 技術的詳細から判断すると、今回の攻撃はWindows版のみが標的と見られます。

Q: なぜ発見まで1ヶ月もかかったのですか？ A: 攻撃者が公式の署名証明書を使用し、正規のアップデートチャネルを悪用したため、従来の検出手法では発見が困難でした。

まとめ：押さえておくべき3つのポイント
#

  1. 供給チェーン攻撃の脅威は現実的リスク：信頼できるソフトウェアでも感染の可能性がある
  2. 多層防御の重要性：アンチウイルス、行動監視、ネットワーク監視の組み合わせが必要
  3. 迅速な対応の必要性：感染が疑われる場合は即座に包括的調査を実施

今後の注目ポイント
#

  • 攻撃者の正体と最終的な目的の解明
  • Daemon Tools開発者AVBからの公式対応
  • 同様の攻撃手法を用いた他のソフトウェアへの影響
  • セキュリティ業界による検出手法の改善

供給チェーン攻撃は防御が極めて困難であるため、継続的な監視と迅速な対応体制の構築が重要です。詳細は元記事を参照し、最新の情報についても公式発表を確認することを推奨します。

出典: Widely used Daemon Tools disk app backdoored in monthlong supply-chain attack

関連記事