Backdoor in Daemon Tools: migliaia di PC Windows infettati

La dinamica dell’attacco: come una backdoor entra in azienda

Il 5 maggio 2026, i ricercatori di Kaspersky hanno pubblicato un’analisi tecnica che ha immediatamente attirato l’attenzione della comunità della sicurezza informatica. Secondo quanto riportato da TechCrunch, il vettore di attacco è Daemon Tools, software ampiamente diffuso in ambito Windows per la gestione di immagini disco in formato ISO e simili.

In particolare, gli attaccanti avrebbero distribuito versioni modificate del programma attraverso canali non ufficiali. Gli utenti che hanno scaricato e installato queste versioni hanno inconsapevolmente aperto una porta d’accesso remota ai propri sistemi. Pertanto, il danno non è legato a una vulnerabilità del software originale, bensì alla sostituzione dell’installer con una copia compromessa.

Kaspersky stima migliaia di tentativi di infezione e almeno dodici compromissioni confermate. Tuttavia, il numero reale potrebbe essere significativamente più elevato, considerando che molte PMI non dispongono di strumenti di rilevamento avanzati.

Chi c’è dietro: l’ipotesi degli hacker cinesi

I ricercatori di Kaspersky attribuiscono l’operazione a un gruppo di minacce presumibilmente legato alla Cina. Tuttavia, l’attribuzione in ambito cyber rimane sempre un’operazione complessa. Infatti, gli indicatori tecnici — tra cui l’infrastruttura di comando e controllo e le tecniche di offuscamento — sono coerenti con campagne già documentate in passato da altri vendor di sicurezza.

Secondo il Gartner Cybersecurity Insights, gli attacchi alla supply chain del software sono in crescita costante. Di conseguenza, non sorprende che un software popolare come Daemon Tools sia diventato un vettore strategico. Analogamente, episodi simili hanno già coinvolto in passato strumenti come CCleaner e SolarWinds.

Oltre a questo, la scelta di Daemon Tools non è casuale. Il software è particolarmente diffuso in contesti aziendali medio-piccoli, spesso privi di policy rigide sulla gestione delle installazioni. Dunque, il profilo delle vittime potenziali coincide esattamente con quello delle PMI italiane.

Impatto immediato sulle PMI italiane con parco macchine Windows

Le piccole e medie imprese italiane rappresentano una quota rilevante degli utenti Windows in Europa. In molti casi, i reparti IT interni sono ridotti o assenti. Per questo motivo, la gestione del software avviene spesso in modo informale, con download da fonti non verificate.

Quindi, il rischio concreto per una PMI è duplice. Prima di tutto, c’è il rischio di esfiltrazione di dati sensibili — credenziali, dati di clienti, informazioni finanziarie — attraverso la backdoor installata. In seguito, una volta compromesso un endpoint, l’attaccante può muoversi lateralmente all’interno della rete aziendale, raggiungendo sistemi critici.

Noi di SHM Studio lavoriamo quotidianamente con PMI che gestiscono dati di clienti B2B e retail. Pertanto, comprendiamo bene quanto un singolo endpoint compromesso possa diventare il punto d’ingresso per una violazione di portata ben più ampia. La strategia digitale di un’azienda non può prescindere da un presidio minimo di sicurezza informatica.

Cosa fare ora: le azioni prioritarie nelle prossime 48 ore

Di fronte a una minaccia attiva e documentata, la risposta deve essere rapida e metodica. Ecco le azioni prioritarie che ogni responsabile IT o titolare di PMI dovrebbe avviare immediatamente.

• Censimento delle installazioni: verificare su tutti i dispositivi aziendali la presenza di Daemon Tools. Controllare versione installata e hash del file eseguibile rispetto a quelli ufficiali.
• Isolamento preventivo: qualsiasi macchina con installazioni di origine dubbia va isolata dalla rete aziendale fino a completamento dell’analisi.
• Scansione con tool aggiornati: eseguire una scansione completa con soluzioni EDR o antivirus aggiornati alle definizioni più recenti. Kaspersky ha già rilasciato firme specifiche per questa minaccia.
• Revisione delle policy di download: introdurre o rafforzare le policy aziendali sull’installazione di software, limitando i download ai soli canali ufficiali e verificati.
• Notifica al DPO: se i sistemi compromessi trattano dati personali, valutare l’obbligo di notifica al Garante Privacy entro 72 ore, come previsto dal GDPR.

Inoltre, è consigliabile consultare il catalogo CISA delle vulnerabilità sfruttate attivamente per aggiornamenti in tempo reale su questa e altre minacce correlate.

Il cantiere ancora aperto: supply chain security come priorità strutturale

Questo incidente non è un episodio isolato. Al contrario, si inserisce in una tendenza consolidata che vede gli attaccanti prendere di mira la catena di distribuzione del software piuttosto che i sistemi target direttamente. Secondo ricerche recenti di McKinsey, le organizzazioni che investono in controlli sulla supply chain del software riducono significativamente la superficie di attacco esposta.

Tuttavia, per molte PMI italiane la supply chain security rimane un concetto astratto. Infatti, la priorità operativa quotidiana lascia poco spazio alla pianificazione strategica della sicurezza. Eppure, come dimostra il caso Daemon Tools, anche un software di utilità apparentemente banale può diventare un vettore critico.

Per questo motivo, la consulenza in ambito AI e automazione che SHM Studio offre alle PMI include sempre una valutazione del rischio digitale complessivo. Integrare la sicurezza nei processi di digitalizzazione non è un costo aggiuntivo: è una condizione necessaria per la continuità operativa. Analogamente, la scelta degli strumenti digitali — dai sistemi web alle piattaforme di marketing — deve tenere conto dei requisiti di sicurezza fin dalla fase di progettazione.

Prospettive: cosa ci aspetta nei prossimi mesi

La campagna documentata da Kaspersky potrebbe non essere conclusa. Pertanto, nelle prossime settimane è probabile che emergano nuovi indicatori di compromissione e ulteriori vittime. Inoltre, è ragionevole attendersi che altri software di utilità Windows — con base utenti ampia e controlli di distribuzione limitati — vengano presi di mira con tecniche simili.

In questo scenario, le PMI italiane che operano nel B2B e nel retail devono accelerare la transizione verso modelli di gestione IT più strutturati. Ciò non significa necessariamente dotarsi di un SOC interno. Significa, invece, adottare pratiche minime di igiene digitale: gestione centralizzata degli aggiornamenti, controllo degli accessi privilegiati, formazione periodica del personale.

Infine, chi gestisce campagne digitali — su Google Ads, su LinkedIn o attraverso attività di SEO — deve considerare che un sistema compromesso può invalidare mesi di lavoro. I dati di analytics, le credenziali delle piattaforme pubblicitarie e i contenuti del blog aziendale sono tutti asset esposti in caso di breach. Dunque, la sicurezza informatica non è una questione esclusivamente tecnica: è una componente del marketing digitale e della reputazione online. Per approfondire o richiedere una valutazione, è possibile contattare il team di SHM Studio. Il copywriting strategico e la presenza digitale di un’azienda valgono tanto quanto la sicurezza dei sistemi che li ospitano.