CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2026-8398

Atak na łańcuch dostaw DAEMON Tools Lite — trojanizacja instalatorów

CVSS 9.3v4.0pub. 2026-05-15upd. 2026-05-28

Oficjalne pakiety instalacyjne DAEMON Tools Lite w wersjach 12.5.0.2421–12.5.0.2434 zostały skompromitowane w ramach ataku na łańcuch dostaw — atakujący wstrzyknęli złośliwy kod do binarnych plików dystrybuowanych z oficjalnej strony producenta. Zagrożenie jest krytyczne, ponieważ złośliwe instalatory były podpisane legalnym certyfikatem kod-podpisującym AVB Disc Soft, co pozwalało omijać mechanizmy weryfikacji podpisu cyfrowego.

▸ Pokaż oryginał (EN)

A supply chain attack compromised the official installation packages of DAEMON Tools Lite (Windows versions 12.5.0.2421 through 12.5.0.2434), distributed from the legitimate website daemon-tools.cc between approximately April 8, 2026, and May 5, 2026. Attackers gained unauthorized access to the vendor's (AVB Disc Soft) build or distribution infrastructure and trojanized three binaries: DTHelper.exe, DiscSoftBusServiceLite.exe, and DTShellHlp.exe. These files were digitally signed with the legitimate AVB Disc Soft code-signing certificate, allowing the malicious installers to appear trustworthy and bypass signature-based detection.

🤖 Analiza AI

Jak działa

Atakujący uzyskali nieautoryzowany dostęp do infrastruktury budowania lub dystrybucji oprogramowania firmy AVB Disc Soft i zmodyfikowali (strojańskowali) trzy pliki binarne: DTHelper.exe, DiscSoftBusServiceLite.exe oraz DTShellHlp.exe. Zmodyfikowane pliki zostały następnie podpisane legalnym certyfikatem code-signing producenta, przez co systemy bezpieczeństwa opierające się na weryfikacji podpisu cyfrowego traktowały je jako zaufane. Skompromitowane pakiety były dystrybuowane z oficjalnej domeny daemon-tools.cc w okresie od około 8 kwietnia 2026 do 5 maja 2026.

Skutki

Użytkownicy, którzy zainstalowali skompromitowane wersje oprogramowania, mogli zostać zainfekowani złośliwym kodem z pełnymi uprawnieniami wynikającymi z uruchomienia podpisanego instalatora — atakujący mógł uzyskać wysoki poziom kontroli nad systemem ofiary, w tym dostęp do poufnych danych oraz możliwość dalszego kompromitowania środowiska.

Mitygacja

Należy natychmiast odinstalować skompromitowane wersje (12.5.0.2421–12.5.0.2434) i zainstalować wersję dostarczoną przez producenta po 5 maja 2026 — zgodnie z informacjami opublikowanymi na blogu producenta (blog.daemon-tools.cc). Systemy, na których zainstalowano podatne wersje, należy poddać dokładnemu audytowi bezpieczeństwa w celu wykrycia ewentualnych śladów kompromitacji.

Kogo dotyczy

DAEMON Tools Lite dla systemu Windows w wersjach 12.5.0.2421 do 12.5.0.2434, pobrane z domeny daemon-tools.cc w okresie od około 8 kwietnia 2026 do 5 maja 2026

Uwagi

Atak obejmował okno dystrybucji od około 8 kwietnia 2026 do 5 maja 2026. Klasyfikacja CWE-506 (Embedded Malicious Code) odzwierciedla naturę zagrożenia — celowe osadzenie złośliwego kodu w legalnym oprogramowaniu. Szczegółowa analiza techniczna dostępna jest w publikacji Securelist pod adresem wskazanym w referencjach.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Disc Soft Daemon Tools
APP
Disc-Soft
12.5.1
Microsoft Windows
OS
Microsoft
wszystkie wersje

CISA KEV — szczegółyi

Dostawcai: Daemon
Produkti: Daemon Tools Lite
Data dodania do KEVi: 27 maja 2026
Termin remediation (USA)i: 30 maja 2026(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług chmurowych lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.