Durante años, muchísima gente ha instalado DAEMON Tools casi en piloto automático para montar imágenes ISO en Windows, confiando en que, al venir de su web oficial y estar firmado digitalmente, era software totalmente fiable. El problema es que, a comienzos de abril, esa confianza se rompió por completo: el propio instalador legítimo de DAEMON Tools Lite se convirtió en un vehículo para distribuir malware mediante un sofisticado ataque a la cadena de suministro, detectado por el equipo de Investigación y Análisis Global de Kaspersky (GReAT).
Este incidente no ha sido un susto menor ni algo limitado a unos pocos despistados que descargaron el programa desde webs pirata. Estamos hablando de miles de equipos en más de cien países que instalaron versiones oficiales comprometidas, servidas desde el dominio legítimo de DAEMON Tools y firmadas con un certificado válido del desarrollador. El ataque, además, no se quedó solo en la instalación inicial del programa, sino que en un pequeño grupo de objetivos elegidos a dedo llegó a desplegar puertas traseras avanzadas capaces de ejecutar comandos y tomar el control remoto de los dispositivos.
Qué es DAEMON Tools y por qué este incidente es tan peligroso
DAEMON Tools es una veterana utilidad de emulación de unidades virtuales para Windows que permite montar imágenes de disco en formatos como ISO, IMG, BIN, NRG o UDF. Durante la época de los CD y DVD fue casi un estándar de facto, y hoy sigue contando con una base enorme de usuarios tanto domésticos como profesionales. Los propios desarrolladores hablan de más de tres millones de usuarios activos cada mes y más de quince años de trayectoria.
El problema de fondo es que este tipo de herramientas necesitan acceso de bajo nivel al sistema operativo para poder crear unidades virtuales, manejar controladores y engancharse profundamente al subsistema de almacenamiento. Eso hace que, durante la instalación, la mayoría de usuarios acepten sin pensárselo demasiado permisos de administrador, asumiendo que el software es confiable por venir de la web oficial. Si el instalador está infectado, esos privilegios se transforman en una autopista para que el malware se incruste en el sistema.
En el caso concreto de esta campaña, la edición más afectada ha sido DAEMON Tools Lite, la versión gratuita y más extendida. La compañía ha insistido en que las ediciones Pro, Ultra y de pago no se han visto comprometidas, pero el alcance de lo ocurrido con Lite es suficientemente grave como para encender todas las alarmas del sector.
Otro factor que agrava la situación es la confianza ciega que muchos usuarios y hasta algunas soluciones de seguridad otorgan a los ejecutables firmados digitalmente y descargados desde dominios oficiales. En teoría, esa firma garantiza que el archivo no ha sido modificado y que procede del editor legítimo. En la práctica, los atacantes consiguieron camuflar código malicioso dentro de paquetes perfectamente firmados con el certificado de AVB Disc Soft, lo que les permitió volar bajo el radar durante semanas.
Esta operación se suma a una lista creciente de ataques a la cadena de suministro de software que han salpicado en los últimos tiempos a utilidades tan diversas como eScan, Notepad++ o CPU-Z. El caso DAEMON Tools demuestra que incluso herramientas muy populares y aparentemente inofensivas pueden convertirse de la noche a la mañana en un vector de ataque global.
El ataque a la cadena de suministro: instaladores oficiales troyanizados
Según el análisis de Kaspersky GReAT, la campaña arrancó a comienzos de abril de 2026, concretamente alrededor del día 8. Desde ese momento, el dominio oficial de DAEMON Tools comenzó a distribuir instaladores modificados de la aplicación Lite. El usuario descargaba el mismo ejecutable de siempre, con el nombre esperado, la firma digital válida y ninguna señal extraña aparente… pero el paquete escondía binarios alterados con código malicioso.
Los informes disponibles señalan que las versiones comprometidas van desde la 12.5.0.2421 hasta la 12.5.0.2434, poniendo especial foco en DAEMON Tools Lite 12.5.1 como compilación especialmente problemática. Kaspersky indica que la amenaza afecta a la versión 12.5.0.2421 y posteriores de la rama comprometida, mientras que Disc Soft ha confirmado que la actualización 12.6.0.2445, lanzada el 5 de mayo, ya elimina por completo los componentes maliciosos.
El vector de ataque no fue un instalador pirata ni una web de descargas dudosa. Los cibercriminales atacaron la propia cadena de suministro del desarrollador. Esto implica comprometer infraestructuras, procesos de compilación o sistemas de distribución internos para inyectar el código malicioso antes de que el ejecutable final sea firmado y publicado. Para el usuario final todo parece legítimo: mismo dominio, mismo editor, misma firma.
En esta operación, los atacantes manipularon al menos tres binarios clave situados en el directorio de instalación de DAEMON Tools Lite, que se cargan al iniciar el sistema o lanzar la aplicación. Esos ejecutables modificados se han identificado en otros análisis de terceros como:
- DTHelper.exe
- DiscSoftBusServiceLite.exe
- DTShellHlp.exe
A través de ellos se desplegaba la funcionalidad maliciosa con persistencia.
Lo inquietante no es solo el truco técnico, sino el tiempo que pasó hasta que alguien se dio cuenta. Durante casi un mes, quienes descargaban DAEMON Tools Lite desde la web oficial obtenían una versión troyanizada sin indicios visibles de anomalía. El uso de software firmado digitalmente y repartido desde una fuente confiable permitió al ataque esquivar muchas defensas tradicionales y puso de manifiesto el alto nivel de sofisticación del actor detrás de la campaña.
Cómo funciona el malware distribuido con DAEMON Tools
Una vez que el usuario ejecuta el instalador comprometido y completa el asistente de instalación, el sistema queda preparado para iniciar el código malicioso en el siguiente arranque o al lanzar la aplicación. No hay ventanas raras ni mensajes evidentes: todo se apoya en la confianza que Windows tiene en los propios servicios y procesos de DAEMON Tools.
Cuando uno de los binarios alterados entra en juego, se comunica silenciosamente con un servidor de comando y control (C2) controlado por los atacantes. El equipo infectado envía una solicitud inicial y, a partir de ahí, el servidor decide qué hacer en función del perfil de la víctima. El ataque está planteado en varias fases, y no todos los equipos pasan de la etapa inicial.
En la primera fase, el malware actúa como módulo de reconocimiento y recolección de información. Entre los datos que puede extraer se incluyen:
- Direcciones MAC de las interfaces de red.
- Nombre de host y nombre de dominio DNS.
- Lista de procesos en ejecución.
- Relación de programas instalados.
- Configuración de idioma y región del sistema.
Este conjunto de información, aunque pueda sonar poco crítico visto dato a dato, ofrece una radiografía bastante precisa del entorno de la víctima.
Una vez recopilada toda esta información, el malware la envía de vuelta al servidor C2 para que los atacantes evalúen el interés del objetivo. Con esos datos pueden identificar si el equipo pertenece a un usuario doméstico, a una red corporativa, a un organismo público o a una institución científica, así como qué soluciones de seguridad podrían estar instaladas.
Si el sistema resulta atractivo, el servidor responde con una segunda fase: una puerta trasera ligera capaz de ejecutar comandos de shell, descargar y lanzar nuevas cargas maliciosas e inyectar código directamente en memoria. Este enfoque minimiza los rastros en disco y complica el análisis forense, al apoyarse mucho en la inyección en procesos legítimos como notepad.exe o conhost.exe.
En algunos casos documentados se ha detectado el despliegue de un implante más avanzado conocido como QUIC RAT, un troyano de acceso remoto que soporta varios protocolos de comunicación con el C2 y permite controlar el sistema con un alto grado de flexibilidad. Junto a QUIC RAT, los investigadores también han visto inyectores de código y RATs inéditos hasta la fecha, lo que apunta a un actor con capacidades ofensivas serias y un arsenal propio, muy lejos del malware genérico de siempre.
Es importante subrayar que, aunque miles de equipos sufrieron la primera fase de recolección de datos, solo una docena larga de sistemas llegó a experimentar la segunda fase con despliegue activo de puertas traseras avanzadas. Estos equipos pertenecían a gobiernos, entidades científicas y empresas de los sectores minorista, manufacturero y retail, principalmente en países como Rusia, Bielorrusia y Tailandia, lo que evidencia una selección manual de objetivos de alto valor.
Alcance global del ataque, atribución y reacción de las partes implicadas
Los datos de telemetría de distintas soluciones de seguridad, con Kaspersky a la cabeza, muestran que la distribución del instalador comprometido fue global, con presencia en más de un centenar de países y territorios. Entre los más afectados destacan Rusia, Brasil, Turquía, España, Alemania, Francia, Italia y China, tanto en el ámbito doméstico como en entornos corporativos.
Aproximadamente un 10 % de los sistemas infectados pertenecían a empresas y organizaciones. Aunque DAEMON Tools es más típico del uso particular, sigue teniendo cierto hueco en redes corporativas para gestionar imágenes de disco, entornos de laboratorio o equipos de pruebas. Un único PC corporativo que instale un ejecutable troyanizado puede convertirse en un excelente punto de entrada a toda la red interna.
En los casos más graves observados, el ataque se desplegó de forma claramente dirigida. Algo más de diez equipos de organizaciones de los sectores minorista, científico, gubernamental y manufacturero recibieron cargas adicionales y fueron objeto de acciones manuales: ejecución de comandos concretos, movimientos laterales, uso de inyectores de código y RATs desconocidos hasta entonces. Las inconsistencias detectadas en algunos comandos y la precisión en la elección de víctimas refuerzan la hipótesis de una operación humana, no totalmente automatizada.
En cuanto a la atribución, se han encontrado elementos escritos en chino dentro del código malicioso. Sin embargo, los analistas insisten en que esto no basta para señalar directamente a un actor de habla china. Este tipo de marcas pueden emplearse como táctica de despiste o “bandera falsa” para confundir a los investigadores y desviar la atención hacia otro país o grupo.
Tras detectar la actividad anómala en su telemetría, Kaspersky notificó rápidamente el incidente a AVB Disc Soft, el desarrollador de DAEMON Tools. A partir de ahí, la respuesta se centró en tres frentes: bloqueo de los instaladores comprometidos, auditoría de la infraestructura del proveedor y lanzamiento de una versión limpia del software. La compañía retiró el instalador Lite troyanizado, auditó sus paquetes y publicó la versión DAEMON Tools Lite 12.6.0.2445, confirmada por Kaspersky como libre de los componentes maliciosos detectados.
Hoy por hoy, las soluciones de seguridad de Kaspersky y otros proveedores detectan y bloquean tanto los instaladores troyanizados como las cargas adicionales de la campaña. Aun así, el incidente ha dejado claro que confiar únicamente en la firma digital y en el dominio oficial ya no es suficiente para garantizar la seguridad de una aplicación.
Riesgos para usuarios domésticos y empresas
Si descargaste o actualizaste DAEMON Tools Lite durante el periodo comprometido, especialmente alguna versión entre la 12.5.0.2421 y la 12.5.0.2434, es razonable preocuparse por el estado de tu equipo. Para el usuario doméstico, el riesgo más habitual es haber servido, como mínimo, de fuente de información para los atacantes. Los datos recopilados (MAC, host, programas instalados, región, procesos activos…) se pueden usar para perfilar el entorno y, aunque no sean contraseñas, tienen valor a la hora de planificar ataques posteriores.
En el peor escenario para un usuario de a pie, si su PC fue escogido para la segunda fase, los atacantes habrán podido ejecutar comandos, descargar nuevos archivos maliciosos, manipular información o usar la máquina como pivote para movimientos laterales dentro de la red doméstica. Esto incluye el riesgo de que otros equipos, NAS o dispositivos conectados puedan terminar también comprometidos, así como el robo de credenciales, tokens y datos sensibles almacenados o introducidos desde ese equipo.
En entornos empresariales, el impacto potencial se dispara. Un solo equipo comprometido en una red corporativa puede proporcionar a los atacantes un punto de apoyo desde el cual explorar sistemas internos, escalar privilegios y exfiltrar documentación sensible. Si el malware consigue hacerse con credenciales de dominio, accesos VPN o tokens de servicios en la nube, el alcance puede ir mucho más allá de la máquina original.
Por ese motivo, distintos especialistas recomiendan a las organizaciones no limitarse a desinstalar DAEMON Tools, sino auditar exhaustivamente su red para localizar cualquier instalación de la versión Lite afectada, aislar equipos sospechosos y revisar logs y actividad inusual. Es clave buscar conexiones salientes extrañas, procesos que no deberían estar ahí, eventos de ejecución de comandos remotos y posibles signos de movimiento lateral.
Este tipo de incidentes deja una lección clara: la seguridad alrededor del software de terceros y de las herramientas “de siempre” debe reforzarse con políticas de mínimo privilegio, controles de aplicaciones, copias de seguridad cifradas y monitorización continua. Dar por sentado que un programa es seguro “porque lo he usado toda la vida” ya no es una opción razonable.
Cómo saber si estás afectado por el malware de DAEMON Tools
Antes de volverte loco formateando el equipo, conviene hacer unas comprobaciones básicas para valorar el alcance del problema. El primer paso es identificar qué versión de DAEMON Tools Lite tienes instalada y en qué fechas la descargaste o actualizaste.
Si en tu PC aparece DAEMON Tools Lite en una versión comprendida entre la 12.5.0.2421 y la 12.5.0.2434, o específicamente la 12.5.1 instalada durante abril, lo más prudente es desinstalarla sin demora. El consenso entre Disc Soft y las principales firmas de seguridad es que esa rama de versiones incluye las compilaciones comprometidas.
A continuación, es recomendable revisar si existen en el sistema los binarios típicos de la instalación Lite y comprobar signos de comportamiento sospechoso. No se trata de borrar archivos a lo loco, sino de apoyarte en herramientas de seguridad para detectar si alguno de esos ejecutables ha sido modificado o está generando tráfico anómalo hacia Internet.
En paralelo, resulta útil preguntarse si has notado algo raro en el equipo desde abril: reinicios inesperados, picos de red que no sabes explicar, aparición de procesos desconocidos o avisos esporádicos de Windows Defender o de otros antivirus. Aunque la ausencia de síntomas no garantiza que estés limpio, sí ayuda a priorizar la urgencia de ciertas acciones, especialmente en entornos donde reinstalar todo es costoso.
Por último, si utilizas este PC para operaciones sensibles (banca online, acceso a paneles de administración, VPN de empresa, etc.), es sensato asumir que las credenciales usadas durante el periodo de compromiso podrían haberse visto expuestas y planificar un cambio ordenado de contraseñas y métodos de autenticación, empezando por las más críticas.
Medidas para proteger tu PC tras el ataque de malware de DAEMON Tools
Una vez que tienes claro si podrías estar afectado, toca ponerse manos a la obra. Las recomendaciones de los expertos combinan medidas específicas relacionadas con DAEMON Tools y buenas prácticas generales de seguridad en Windows frente a malware y ataques similares.
En primer lugar, si tienes una versión comprometida: desinstala DAEMON Tools Lite de inmediato desde el panel de aplicaciones de Windows. Si decides seguir usándolo más adelante, hazlo únicamente con la versión 12.6.0.2445 o posteriores descargadas de la web oficial, comprobando que el instalador coincide con el hash o la información publicada por el proveedor y escaneando el archivo con tu solución antimalware antes de ejecutarlo.
El siguiente paso es realizar un análisis exhaustivo del sistema con una solución de seguridad confiable. Microsoft Defender viene integrado en Windows 10 y 11 y ofrece protección antimalware gratuita, actualizándose automáticamente a través de Windows Update. Además, puedes reforzar la revisión utilizando herramientas especializadas como Malwarebytes, HitmanPro o suites completas tipo Bitdefender, Kaspersky u otras de tu confianza.
Si el equipo ha dado señales claras de infección avanzada, o si prefieres ir sobre seguro porque lo utilizas para trabajo crítico, una reinstalación limpia de Windows es una opción perfectamente válida. Hay usuarios que, al detectar puertas traseras relacionadas con esta campaña, han optado por formatear el sistema por completo y volver a instalar aplicaciones desde cero, verificando todo con varios escáneres hasta asegurarse de que el entorno queda totalmente limpio.
Por otro lado, conviene cambiar las contraseñas de las cuentas más importantes utilizadas desde el equipo potencialmente comprometido: correo principal, redes sociales, banca online, cuentas de acceso a servicios en la nube y, en entornos corporativos, credenciales de dominio o VPN. Siempre que sea posible, activa autenticación en dos pasos para dificultar el uso fraudulento de esas cuentas.
Finalmente, aprovecha la ocasión para reforzar una serie de ajustes de seguridad nativos de Windows que ayudan a frenar futuras amenazas, tanto si vienen de DAEMON Tools como de cualquier otro software.
Buenas prácticas de seguridad en Windows para evitar malware similar
Más allá del incidente concreto con DAEMON Tools, es fundamental interiorizar una serie de rutinas que reducen enormemente las probabilidades de caer en campañas de malware, puertas traseras o robos de datos. No son una receta mágica, pero juntas forman una base muy sólida.
La primera es contar siempre con una solución antimalware activa y actualizada. Microsoft Defender, integrado en Windows, ofrece una protección más que decente y se mantiene al día a través de Windows Update, sobre todo si tienes suscripción a Microsoft 365 Personal, Familia o Premium. Si lo prefieres, puedes optar por productos de terceros reputados, pero evita mezclar muchos antivirus en tiempo real a la vez, porque pueden interferir entre sí.
Otra medida esencial es no abrir correos ni adjuntos procedentes de remitentes desconocidos o que no esperabas recibir. Muchos virus viajan ocultos en archivos adjuntos que se activan al abrirlos. Si no tienes claro el origen de un documento o un enlace, mejor pecar de desconfiado. En este terreno también entra la protección frente a phishing: aprender a distinguir correos trampa que imitan a bancos, plataformas de pago o servicios muy conocidos.
En el navegador, merece la pena activar y mantener encendido un bloqueador de ventanas emergentes. Las pop-ups no solo son molestas: también pueden incluir scripts maliciosos o redirigirte a páginas peligrosas. Microsoft Edge trae su propio bloqueador habilitado por defecto y conviene no desactivarlo a la ligera, salvo para sitios muy específicos y de plena confianza.
Si usas Edge, debieras asegurarte de que la protección SmartScreen está activa. Esta función avisa cuando visitas sitios reportados como maliciosos o intentas descargar archivos potencialmente peligrosos. Además, SmartScreen analiza la reputación de las aplicaciones que intentas ejecutar: cuando se trata de un programa poco conocido o recién aparecido, te lanza una advertencia antes de permitir la ejecución, lo que puede salvarte de una buena.
No olvides tampoco la importancia de mantener Windows y todas tus aplicaciones al día con las últimas actualizaciones de seguridad. Microsoft lanza parches regularmente que corrigen vulnerabilidades que los atacantes pueden aprovechar. Windows Update hace gran parte del trabajo por ti, pero de vez en cuando conviene revisar que no haya actualizaciones pendientes, aunque impliquen reiniciar el equipo.
En lo referente a privacidad, todos los navegadores modernos ofrecen ajustes para controlar qué datos pueden recopilar las webs que visitas. Restringir cookies de terceros, desactivar el rastreo excesivo o limitar permisos de geolocalización y cámara ayuda a reducir la superficie de exposición frente a amenazas como el fraude o el robo de identidad.
Otra capa clave es el Control de Cuentas de Usuario (UAC), que debería permanecer activado. Cada vez que un programa vaya a realizar cambios que requieran permisos de administrador, UAC te mostrará una notificación para que aceptes o rechaces el cambio. Muchos tipos de malware aprovechan ejecuciones silenciosas con privilegios elevados; si UAC salta y tú no has solicitado nada, esa alerta ya es una pista de que algo no cuadra.
En Windows 10 y 11 también existe la función de Protección contra alteraciones (Tamper Protection), que impide a aplicaciones no autorizadas modificar la configuración de seguridad del sistema, empezando por la propia configuración de Microsoft Defender. Bastantes familias de malware intentan desactivar el antivirus nada más entrar para poder campar a sus anchas, así que comprobar que esta protección está habilitada es un paso muy recomendable.
Por último, plantéate restringir el uso de software de riesgo o con historial de adware. Hay casos documentados de usuarios que, al instalar DAEMON Tools Lite, acabaron con componentes sospechosos como trolatunt integrados en sus navegadores, registrando URLs visitadas, búsquedas, IPs e información de hardware. Aunque en algunos casos el problema se debió a aceptar ofertas opcionales del instalador, la moraleja es clara: lee con calma cada paso y desmarca todo aquello que no necesites realmente.
Todo lo ocurrido alrededor de DAEMON Tools Lite ha dejado claro que incluso las herramientas más populares y aparentemente de confianza pueden servir de caballo de Troya si alguien consigue colarse en su cadena de suministro. Revisar qué versión tienes, desinstalar compilaciones comprometidas, escanear a fondo tu PC, cambiar contraseñas sensibles y reforzar las defensas de Windows son pasos imprescindibles para dejar atrás este incidente con el menor daño posible, pero también una buena oportunidad para subir el listón de seguridad en tu día a día y no dar nunca por segura una aplicación solo porque “siempre la has usado”.
