Une alerte majeure secoue l’écosystème Windows : des chercheurs en sécurité ont détecté une possible attaque de la chaîne d’approvisionnement liée à Daemon Tools, le célèbre utilitaire de gestion d’images disque. Plutôt qu’un malware classique distribué via un email piégé ou un site douteux, il s’agit ici d’installateurs légitimes apparemment signés mais modifiés, capables d’installer une backdoor et de télécharger d’autres charges malveillantes. Le scénario est préoccupant : des milliers de PC touchés dans plus d’une centaine de pays, des cibles potentiellement sensibles et une difficulté accrue pour les défenses traditionnelles. Voici ce qu’il faut savoir et les actions concrètes à entreprendre si vous avez utilisé Daemon Tools récemment.
Ce qui s’est passé — l’attaque en quelques points
Les analyses montrent que certaines versions distribuées de Daemon Tools Lite, entre avril et début mai, ont été compromises. Les fichiers d’installation incriminés étaient signés avec des certificats numériques valides au nom d’AVB Disc Soft, ce qui faisait paraître l’installateur authentique aux yeux des systèmes de sécurité et des utilisateurs. Une fois exécuté, ce code modifié pouvait collecter des informations sur la machine et, dans certains cas ciblés, télécharger des composants secondaires plus sophistiqués permettant un contrôle à distance.
Les données de télémétrie des firmes de sécurité indiquent des tentatives d’infection recensées dans plus de 100 pays, avec des milliers de systèmes potentiellement exposés. Toutefois, les victimes d’un second payload — la charge plus dangereuse et ciblée — semblent être un sous‑ensemble : entités gouvernementales, organisations scientifiques et entreprises manufacturières ou retail figurent parmi les structures touchées, selon les équipes d’investigation.
Pourquoi cette attaque est particulièrement dangereuse
Que faire si vous avez installé Daemon Tools récemment ?
Si vous avez téléchargé ou mis à jour Daemon Tools entre avril et début mai, voici les étapes pratiques à suivre immédiatement :
Indications techniques et hypothèses d’attribution
Les chercheurs ont relevé certains éléments dans le code malveillant qui laissent entrevoir des traces linguistiques orientées vers des environnements de développement chinois. Cela ne constitue pas une attribution définitive, mais souligne la complexité des techniques employées, probablement le travail d’un groupe capable d’altérer des binaires et de gérer une infrastructure de distribution.
L’étape la plus critique de ces attaques est souvent la signature des binaires. Si un acteur parvient à usurper ou voler un certificat, il rend l’attaque bien plus difficile à détecter. Les fournisseurs et éditeurs doivent donc sécuriser leurs processus de build, vérifier l’intégrité des pipelines CI/CD, et recourir à des pratiques comme la signature matérielle et la rotation stricte des certificats.
Mesures préventives pour l’avenir
Que disent les éditeurs ?
Disc Soft a confirmé l’incident, affirmant avoir isolé les systèmes compromis et retiré les versions infectées du site. L’entreprise indique avoir remis en ligne des versions nettoyées. Néanmoins, la prudence reste de mise : un correctif côté éditeur ne garantit pas l’absence d’impact sur les systèmes qui ont déjà été infectés.
Les attaques de la chaîne d’approvisionnement gagnent en sophistication et en ampleur. Lorsque des logiciels historiques et largement utilisés deviennent des vecteurs d’infection, la frontière entre « source fiable » et « source risquée » s’amincit. Pour les utilisateurs et les administrateurs, la meilleure défense combine vigilance, sauvegardes sans connexion réseau, analyses multi‑outils et procédures de réponse rapide. Si vous avez le moindre doute après l’installation d’un logiciel, agissez vite : dans la cybersécurité, la réactivité limite souvent l’ampleur des dégâts.