Pendant des années, d'innombrables personnes ont installé DAEMON Tools presque machinalement pour monter des images ISO sous Windows, persuadées que, provenant du site officiel et signé numériquement, il s'agissait d'un logiciel parfaitement fiable. Le problème, c'est qu'au début du mois d'avril, cette confiance a été brutalement anéantie. Le programme d'installation légitime de DAEMON Tools Lite est lui-même devenu un vecteur de distribution de logiciels malveillants via une attaque sophistiquée de la chaîne d'approvisionnement., détecté par l'équipe mondiale de recherche et d'analyse (GReAT) de Kaspersky.
Cet incident n'était pas une simple frayeur, et ne se limitait pas à quelques personnes naïves ayant téléchargé le programme depuis des sites web pirates. Nous parlons de milliers d'ordinateurs dans plus d'une centaine de pays qui ont installé des versions officielles compromises, hébergées sur le domaine légitime de DAEMON Tools et signées avec un certificat de développeur valide.De plus, l'attaque ne s'est pas arrêtée à l'installation initiale du programme ; sur un petit groupe de cibles triées sur le volet, elle a déployé des portes dérobées sophistiquées capables d'exécuter des commandes et de prendre le contrôle à distance des appareils.
Qu'est-ce que DAEMON Tools et pourquoi cet incident est-il si dangereux ?
DAEMON Tools est un utilitaire d'émulation de lecteur virtuel éprouvé pour Windows qui vous permet de monter des images disque dans formats tels que ISO, IMG, BIN, NRG ou UDFÀ l'époque des CD et DVD, il s'est imposé comme la norme de facto, et aujourd'hui encore, il bénéficie d'une immense base d'utilisateurs, tant à domicile que professionnels. Ses développeurs font état de plus de trois millions d'utilisateurs actifs mensuels et de plus de quinze ans d'existence.
Le problème sous-jacent est que ces types d'outils ont besoin accès de bas niveau au système d'exploitation Cela leur permet de créer des lecteurs virtuels, de gérer des contrôleurs et de s'intégrer profondément au sous-système de stockage. De ce fait, la plupart des utilisateurs acceptent sans hésiter les privilèges d'administrateur lors de l'installation, partant du principe que le logiciel est fiable puisqu'il provient du site web officiel. Si le programme d'installation est infecté, ces privilèges deviennent une porte d'entrée pour les logiciels malveillants qui peuvent ainsi infiltrer le système.
Dans le cas particulier de cette campagne, L'édition la plus touchée est DAEMON Tools Lite, la version gratuite et la plus utilisée.L'entreprise a insisté sur le fait que les éditions Pro, Ultra et payantes n'ont pas été compromises, mais l'ampleur de ce qui s'est passé avec la version Lite est suffisamment grave pour tirer la sonnette d'alarme dans toute l'industrie.
Un autre facteur qui aggrave la situation est la confiance aveugle que de nombreux utilisateurs, et même certaines solutions de sécurité, accordent à… fichiers exécutables signés numériquement téléchargés depuis des domaines officielsEn théorie, cette signature garantit que le fichier n'a pas été modifié et qu'il provient de l'éditeur légitime. En pratique, les attaquants sont parvenus à dissimuler un code malveillant dans des paquets parfaitement signés avec le certificat AVB Disc Soft, ce qui leur a permis de passer inaperçus pendant des semaines.
Cette opération s'ajoute à une liste croissante d'attaques contre la chaîne d'approvisionnement logicielle qui ont récemment touché des utilitaires aussi divers que eScan, Notepad++ et CPU-Z. L’affaire DAEMON Tools démontre que même des outils très populaires et apparemment inoffensifs peuvent devenir du jour au lendemain un vecteur d’attaque mondial..
Attaque de la chaîne d'approvisionnement : programmes d'installation officiels piégés par un cheval de Troie
Selon l'analyse de Kaspersky GReAT, La campagne a débuté début avril 2026, plus précisément autour du 8.À partir de ce moment, le domaine officiel de DAEMON Tools a commencé à distribuer des installateurs modifiés de l'application Lite. L'utilisateur téléchargeait le même fichier exécutable que d'habitude, avec le nom attendu, une signature numérique valide et sans aucun signe apparent d'anomalie… mais le paquet dissimulait des fichiers binaires altérés contenant du code malveillant.
Les rapports disponibles indiquent que Les versions compromises vont de 12.5.0.2421 à 12.5.0.2434Kaspersky a concentré ses efforts sur DAEMON Tools Lite 12.5.1, une version particulièrement problématique. Kaspersky indique que la menace affecte la version 12.5.0.2421 et les versions ultérieures de la branche compromise, tandis que Disc Soft a confirmé que la mise à jour 12.6.0.2445, publiée le 5 mai, supprime intégralement les composants malveillants.
Le vecteur d'attaque n'était ni un programme d'installation piraté, ni un site web de téléchargement douteux. Des cybercriminels ont attaqué la propre chaîne d'approvisionnement du développeur.Cela implique de compromettre l'infrastructure interne, les processus de compilation ou les systèmes de distribution afin d'injecter du code malveillant avant la signature et la publication du fichier exécutable final. Pour l'utilisateur final, tout semble légitime : même domaine, même éditeur, même signature.
Dans cette opération, les attaquants ont manipulé au moins trois fichiers binaires clés situés dans le répertoire d'installation de DAEMON Tools LiteCes fichiers exécutables modifiés sont chargés au démarrage du système ou au lancement de l'application. D'autres analyses tierces ont identifié ces fichiers exécutables modifiés comme étant :
- DTHelper.exe
- DiscSoftBusServiceLite.exe
- DTShellHlp.exe
Grâce à eux, des fonctionnalités malveillantes ont été déployées de manière persistante.
Ce qui est troublant, ce n'est pas seulement la prouesse technique, mais aussi le temps qui s'est écoulé avant que quelqu'un ne la remarque. Pendant près d'un mois, ceux qui ont téléchargé DAEMON Tools Lite depuis le site officiel ont reçu une version infectée par un cheval de Troie sans aucun signe visible d'anomalie.L'utilisation d'un logiciel signé numériquement et distribué par une source fiable a permis à l'attaque de contourner de nombreuses défenses traditionnelles et a mis en évidence le haut niveau de sophistication de l'acteur à l'origine de la campagne.
Comment fonctionne un logiciel malveillant distribué avec DAEMON Tools
Une fois que l'utilisateur exécute le programme d'installation dédié et termine l'assistant d'installation, Le système est alors préparé à exécuter le code malveillant au prochain démarrage ou au lancement de l'application.Il n'y a pas de fenêtres étranges ni de messages évidents : tout repose sur la confiance que Windows accorde aux services et processus propres à DAEMON Tools.
Lorsqu'un des binaires modifiés entre en jeu, Il communique silencieusement avec un serveur de commande et de contrôle (C2). Contrôlée par les attaquants, l'attaque se déroule en plusieurs phases. La machine infectée envoie une requête initiale, et le serveur décide ensuite de la marche à suivre en fonction du profil de la victime. Toutes les machines ne parviennent pas à franchir la première étape.
Dans la première phase, le logiciel malveillant agit comme module de reconnaissance et de collecte d'informationsLes données que vous pouvez extraire comprennent :
- Adresses MAC des interfaces réseau.
- Nom d'hôte et nom de domaine DNS.
- Liste des processus en cours d'exécution.
- Liste des programmes installés.
- Paramètres de langue et de région du système.
Cet ensemble d'informations, bien qu'il puisse paraître peu critique lorsqu'on l'examine pris individuellement, offre une image assez précise de l'environnement de la victime.
Une fois toutes ces informations recueillies, Le logiciel malveillant renvoie les données au serveur C2 afin que les attaquants puissent évaluer l'intérêt de la cible.Grâce à ces données, ils peuvent identifier si l'équipement appartient à un particulier, à un réseau d'entreprise, à un organisme public ou à un institut scientifique, ainsi que les solutions de sécurité éventuellement installées.
Si le système s'avère attractif, le serveur répond par une deuxième phase : une porte dérobée légère capable d'exécuter des commandes shell, de télécharger et de lancer de nouvelles charges utiles malveillantes et d'injecter du code directement en mémoireCette approche minimise les traces sur le disque et complique l'analyse forensique, en s'appuyant fortement sur l'injection dans des processus légitimes tels que notepad.exe ou conhost.exe.
Dans certains cas documentés, le déploiement d'un implant plus avancé, connu sous le nom de QUIC RAT, a été détecté ; il s'agit d'un cheval de Troie d'accès à distance qui Il prend en charge divers protocoles de communication avec le C2 et permet un contrôle système très flexibleOutre QUIC RAT, les chercheurs ont également découvert des injecteurs de code et des RAT inédits, ce qui indique l'existence d'un acteur doté de sérieuses capacités offensives et de son propre arsenal, bien loin des logiciels malveillants génériques habituels.
Il est important de souligner que, bien que Des milliers d'équipes ont subi la première phase de collecte de données.Seule une douzaine de systèmes environ ont ensuite fait l'objet d'une seconde phase, caractérisée par le déploiement actif de portes dérobées sophistiquées. Ces systèmes appartenaient à des gouvernements, des institutions scientifiques et des entreprises des secteurs du commerce de détail, de la production et de l'industrie, principalement dans des pays comme la Russie, le Bélarus et la Thaïlande, ce qui indique une sélection manuelle des cibles prioritaires.
Portée mondiale de l'attaque, attribution et réaction des parties impliquées
Les données de télémétrie provenant de diverses solutions de sécurité, Kaspersky en tête, montrent que La distribution de ce programme d'installation dédié était mondiale, avec une présence dans plus de cent pays et territoires.Parmi les pays les plus touchés figurent la Russie, le Brésil, la Turquie, l'Espagne, l'Allemagne, la France, l'Italie et la Chine, tant sur le plan national que dans le milieu des entreprises.
Environ un 10 % des systèmes infectés appartenaient à des entreprises et des organisationsBien que DAEMON Tools soit plus souvent utilisé pour des projets personnels, il reste pertinent au sein des réseaux d'entreprise pour la gestion d'images disque, d'environnements de laboratoire ou d'équipements de test. Un simple PC d'entreprise infecté par un cheval de Troie peut constituer une porte d'entrée idéale pour infiltrer l'ensemble du réseau interne.
Dans les cas les plus graves observés, l'attaque était clairement ciblée. Un peu plus de dix équipes d'organisations des secteurs du commerce de détail, de la recherche scientifique, du gouvernement et de la fabrication ont reçu une charge de travail supplémentaire et ont été soumises à des interventions manuelles.L'exécution de commandes spécifiques, les déplacements latéraux et l'utilisation d'injecteurs de code et de RAT jusqu'alors inconnus ont été observés. Les incohérences relevées dans certaines commandes et la précision du ciblage des victimes confortent l'hypothèse d'une opération humaine, et non entièrement automatisée.
Concernant l'attribution, Des éléments écrits en chinois ont été trouvés dans le code malveillant.Cependant, les analystes insistent sur le fait que cela ne suffit pas à désigner directement un acteur sinophone. De telles marques peuvent servir de diversion ou d'opération sous faux drapeau pour tromper les enquêteurs et détourner l'attention vers un autre pays ou groupe.
Après avoir détecté une activité anormale dans ses données télémétriques, Kaspersky a rapidement informé AVB Disc Soft, le développeur de DAEMON Tools, de l'incident. À partir de là, La riposte s'est articulée autour de trois axes : le blocage des installateurs compromis, l'audit de l'infrastructure du fournisseur et la publication d'une version propre du logiciel.L'entreprise a supprimé le programme d'installation Lite infecté par un cheval de Troie, a audité ses packages et a publié la version 12.6.0.2445 de DAEMON Tools Lite, confirmée par Kaspersky comme étant exempte des composants malveillants détectés.
Aujourd'hui, les solutions de sécurité de Kaspersky et d'autres fournisseurs Ils détectent et bloquent à la fois les programmes d'installation infectés par des chevaux de Troie et les charges utiles supplémentaires des campagnes.Néanmoins, cet incident a clairement démontré que le recours exclusif aux signatures numériques et aux domaines officiels ne suffit plus à garantir la sécurité d'une application.
Risques pour les particuliers et les entreprises
Si vous avez téléchargé ou mis à jour DAEMON Tools Lite pendant la période concernée, en particulier toute version entre 12.5.0.2421 et 12.5.0.2434, il est raisonnable de s'inquiéter de l'état de votre ordinateur. Pour l'utilisateur à domicile, le risque le plus courant est d'avoir servi, à tout le moins, de source d'information aux attaquants.Les données collectées (adresse MAC, hôte, programmes installés, région, processus actifs, etc.) peuvent être utilisées pour profiler l'environnement et, bien qu'il ne s'agisse pas de mots de passe, elles sont précieuses lors de la planification d'attaques ultérieures.
Dans le pire des cas pour un utilisateur moyen, Si votre PC a été choisi pour la deuxième phase, les attaquants auront pu exécuter des commandes, télécharger de nouveaux fichiers malveillants, manipuler des informations ou utiliser la machine comme point d'appui pour des déplacements latéraux au sein du réseau domestique.Cela inclut le risque que d'autres appareils connectés, NAS ou autres équipements soient également compromis, ainsi que le vol d'identifiants, de jetons et de données sensibles stockées ou saisies à partir de ces équipements.
Dans le monde des affaires, l'impact potentiel explose. Un seul appareil compromis sur un réseau d'entreprise peut fournir aux attaquants un point d'appui leur permettant d'explorer les systèmes internes, d'élever leurs privilèges et d'exfiltrer des documents sensibles.Si le logiciel malveillant parvient à obtenir des identifiants de domaine, un accès VPN ou des jetons de service cloud, sa portée peut s'étendre bien au-delà de la machine d'origine.
Pour cette raison, plusieurs spécialistes recommandent aux organisations non seulement de désinstaller DAEMON Tools, mais aussi Procédez à un audit complet de votre réseau afin de localiser les installations affectées de la version Lite, d'isoler les ordinateurs suspects et d'examiner les journaux et les activités inhabituelles.Il est essentiel de rechercher les connexions sortantes inhabituelles, les processus qui ne devraient pas être présents, les événements d'exécution de commandes à distance et les signes possibles de déplacement latéral.
Ce type d'incident nous enseigne une leçon claire : La sécurité des logiciels tiers et des outils « traditionnels » doit être renforcée par des politiques de moindre privilège, des contrôles d'application, des sauvegardes chiffrées et une surveillance continue.Considérer qu'un programme est sûr « parce que je l'ai utilisé toute ma vie » n'est plus une option raisonnable.
Comment savoir si vous êtes infecté par le logiciel malveillant DAEMON Tools
Avant de vous lancer dans un formatage frénétique de votre ordinateur, il est judicieux d'effectuer quelques vérifications de base pour évaluer l'ampleur du problème. La première étape consiste à identifier la version de DAEMON Tools Lite que vous avez installée et les dates auxquelles vous l'avez téléchargée ou mise à jour..
Si DAEMON Tools Lite apparaît sur votre PC dans une version entre les versions 12.5.0.2421 et 12.5.0.2434, ou plus précisément la version 12.5.1 installée en avrilLa solution la plus prudente consiste à le désinstaller immédiatement. DiscSoft et les principales entreprises de sécurité s'accordent à dire que cette branche de version contient les versions compromises.
Ensuite, il est recommandé Vérifiez si les fichiers binaires habituels de l'installation Lite sont présents sur le système et recherchez tout signe de comportement suspect.Il ne s'agit pas de supprimer des fichiers au hasard, mais d'utiliser des outils de sécurité pour détecter si l'un de ces fichiers exécutables a été modifié ou génère un trafic anormal vers Internet.
En parallèle, il est utile de se demander si Avez-vous remarqué quelque chose d'étrange concernant l'équipement depuis avril ?Redémarrages inattendus, pics de trafic réseau inexpliqués, apparition de processus inconnus ou alertes sporadiques de Windows Defender ou d'autres antivirus : l'absence de ces symptômes ne garantit pas un système sain, mais elle permet de prioriser les actions à entreprendre, notamment lorsque la réinstallation complète est coûteuse.
Enfin, si vous utilisez ce PC pour des opérations sensibles (services bancaires en ligne, accès aux panneaux d'administration, VPN d'entreprise, etc.), Il est raisonnable de supposer que les identifiants utilisés pendant la période de compromission ont pu être divulgués. et planifier un changement ordonné des mots de passe et des méthodes d'authentification, en commençant par les plus critiques.
Mesures à prendre pour protéger votre PC après une attaque du logiciel malveillant DAEMON Tools
Une fois que vous savez si vous êtes potentiellement concerné, il est temps de passer à l'action. Les recommandations des experts combinent des mesures spécifiques liées à DAEMON Tools et Bonnes pratiques générales de sécurité sous Windows contre les logiciels malveillants et les attaques similaires.
Premièrement, si vous avez une version compromise : Désinstallez immédiatement DAEMON Tools Lite depuis le panneau des applications Windows.Si vous décidez de continuer à l'utiliser ultérieurement, faites-le uniquement avec la version 12.6.0.2445 ou ultérieure téléchargée depuis le site officiel, en vérifiant que le programme d'installation correspond au hachage ou aux informations publiées par le fournisseur et en analysant le fichier avec votre solution anti-malware avant de l'exécuter.
La prochaine étape est Effectuez une analyse système approfondie avec une solution de sécurité fiable.Microsoft Defender est intégré à Windows 10 et 11 et offre une protection anti-malware gratuite, avec des mises à jour automatiques via Windows Update. Vous pouvez également renforcer votre protection à l'aide d'outils spécialisés comme Malwarebytes, HitmanPro ou de suites antivirus complètes telles que Bitdefender, Kaspersky ou d'autres programmes antivirus fiables.
Si l'équipement présente des signes évidents d'infection avancée, ou si vous préférez jouer la carte de la sécurité parce que vous l'utilisez pour un travail essentiel, Une réinstallation propre de Windows est une option parfaitement valableCertains utilisateurs, après avoir détecté des portes dérobées liées à cette campagne, ont choisi de formater complètement leur système et de réinstaller les applications à partir de zéro, en vérifiant tout avec plusieurs scanners jusqu'à ce qu'ils soient sûrs que l'environnement est totalement propre.
En revanche, il est conseillé Modifiez les mots de passe des comptes les plus importants utilisés depuis l'appareil potentiellement compromis.Cela inclut la messagerie principale, les réseaux sociaux, les comptes bancaires en ligne, les comptes d'accès aux services cloud et, en entreprise, les identifiants de domaine ou de VPN. Dans la mesure du possible, activez l'authentification à deux facteurs afin de limiter les risques d'utilisation frauduleuse de ces comptes.
Enfin, profitez-en pour renforcer une série de paramètres de sécurité natifs de Windows qui contribuent à limiter les menaces futures, qu'elles proviennent de DAEMON Tools ou de tout autre logiciel.
Adopter de bonnes pratiques de sécurité sous Windows pour éviter les logiciels malveillants similaires
Au-delà de l'incident spécifique avec DAEMON Tools, il est essentiel d'intérioriser une série de routines qui Elles réduisent considérablement les risques d'être victime de campagnes de logiciels malveillants, de portes dérobées ou de vols de données.Ce ne sont pas des ingrédients magiques, mais ensemble, ils forment une base très solide.
La première est d'avoir toujours une solution anti-malware active et à jourMicrosoft Defender, intégré à Windows, offre une protection plus que satisfaisante et se met à jour automatiquement grâce à Windows Update, notamment si vous disposez d'un abonnement Microsoft 365 Personnel, Famille ou Premium. Si vous le souhaitez, vous pouvez opter pour des solutions tierces réputées, mais évitez d'utiliser simultanément trop d'antivirus en temps réel, car ils peuvent interférer entre eux.
Une autre mesure essentielle est N’ouvrez pas les courriels ni les pièces jointes provenant d’expéditeurs inconnus ou que vous ne vous attendiez pas à recevoir.De nombreux virus se dissimulent dans les pièces jointes des courriels et s'activent à leur ouverture. En cas de doute sur la provenance d'un document ou d'un lien, la prudence est de mise. Cela inclut également la protection contre l'hameçonnage : il est essentiel d'apprendre à reconnaître les courriels frauduleux qui usurpent l'identité de banques, de plateformes de paiement ou de services connus.
Dans le navigateur, ça vaut le coup. Activez et laissez le bloqueur de fenêtres publicitaires activé.Les fenêtres publicitaires intempestives ne sont pas seulement agaçantes ; elles peuvent aussi contenir des scripts malveillants ou vous rediriger vers des sites web dangereux. Microsoft Edge intègre un bloqueur de fenêtres publicitaires activé par défaut, et il est fortement déconseillé de le désactiver à la légère, sauf pour des sites très spécifiques et de confiance absolue.
Si vous utilisez Edge, vous devez vous assurer que La protection SmartScreen est active.Cette fonctionnalité vous alerte lorsque vous consultez des sites web signalés comme malveillants ou tentez de télécharger des fichiers potentiellement dangereux. De plus, SmartScreen analyse la réputation des applications que vous essayez d'exécuter : s'il s'agit d'un programme inconnu ou récemment publié, un avertissement s'affiche avant son exécution, ce qui peut vous éviter de graves problèmes.
N'oubliez pas l'importance de l'entretien Windows et toutes vos applications sont à jour avec les dernières mises à jour de sécurité.Microsoft publie régulièrement des correctifs pour résoudre les failles de sécurité exploitables par les pirates. Windows Update automatise la majeure partie de ce processus, mais il est toujours conseillé de vérifier de temps en temps la présence de mises à jour, même si cela implique de redémarrer votre ordinateur.
En matière de confidentialité, tous les navigateurs modernes offrent Paramètres permettant de contrôler quelles données les sites web que vous visitez peuvent collecterLimiter les cookies tiers, désactiver le suivi excessif ou limiter les autorisations de géolocalisation et d'accès à la caméra contribue à réduire la surface exposée aux menaces telles que la fraude ou l'usurpation d'identité.
Une autre couche clé est la Contrôle de compte d'utilisateur (UAC)Cette option doit rester activée. Lorsqu'un programme s'apprête à effectuer des modifications nécessitant des privilèges d'administrateur, le Contrôle de compte d'utilisateur (UAC) affiche une notification vous demandant d'accepter ou de refuser la modification. De nombreux logiciels malveillants exploitent les exécutions silencieuses avec des privilèges élevés ; si l'UAC se déclenche alors que vous n'avez rien demandé, cette alerte indique un problème.
Windows 10 et 11 possèdent également la fonction de Protection contre la falsificationCela empêche les applications non autorisées de modifier les paramètres de sécurité du système, à commencer par la configuration de Microsoft Defender. De nombreux logiciels malveillants tentent de désactiver l'antivirus dès leur intrusion afin de pouvoir agir librement ; il est donc fortement recommandé de vérifier que cette protection est activée.
Enfin, envisagez de limiter l'utilisation de logiciels à risque ou ayant déjà contenu des logiciels publicitaires. Des cas documentés d'utilisateurs ayant rencontré des problèmes après l'installation de DAEMON Tools Lite ont été rapportés. Des composants suspects comme trolatunt intégrés à vos navigateursL'enregistrement des URL visitées, des recherches effectuées, des adresses IP et des informations matérielles est essentiel. Bien que, dans certains cas, le problème soit dû à l'acceptation d'options supplémentaires proposées par le programme d'installation, la leçon est claire : lisez attentivement chaque étape et décochez tout ce qui n'est pas nécessaire.
Tout ce qui s'est passé autour de DAEMON Tools Lite a clairement démontré que même les outils les plus populaires et apparemment les plus fiables peuvent servir de cheval de Troie si quelqu'un parvient à infiltrer leur chaîne d'approvisionnement. Vérifier la version que vous possédez, désinstaller les versions compromises, analyser minutieusement votre PC, changer vos mots de passe sensibles et renforcer les défenses de Windows sont des étapes essentielles pour surmonter cet incident et minimiser les dégâts.Mais c’est aussi une bonne occasion de rehausser le niveau de sécurité dans votre vie quotidienne et de ne jamais considérer une application comme acquise simplement parce que « vous l’avez toujours utilisée ».
