SecBoard
Zurück zur CVE-Übersicht

CVE-2026-8398

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score55/100 — HOCH
  • CVSS 9.8 — Kritisch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

1.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-8398 betrifft DAEMON Tools Lite für Windows und beschreibt einen . Offizielle Installationspakete der Versionen 12.5.0.2421 bis 12.5.0.2434 wurden zwischen dem 8. April und 5. Mai 2026 kompromittiert. Angreifer schleusten Trojaner in die Binärdateien DTHelper.exe, DiscSoftBusServiceLite.exe und DTShellHlp.exe ein, die mit einem legitimen Zertifikat signiert waren. Die Schwachstelle wird als kritisch eingestuft ( 9.8) und ist im KEV-Katalog gelistet, was auf eine aktive Ausnutzung hinweist. Trotz einer niedrigen EPSS-Wahrscheinlichkeit von 1% ist die aktive Ausnutzung ein klares Indiz für ein hohes Risiko. Security-Teams sollten umgehend alle Installationen von DAEMON Tools Lite in den betroffenen Versionen überprüfen und gegebenenfalls neu installieren. Es wird empfohlen, die Integrität der Softwarequellen genau zu prüfen und auf offizielle Herstellerhinweise zu achten, um weitere Risiken zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A supply chain attack compromised the official installation packages of DAEMON Tools Lite (Windows versions 12.5.0.2421 through 12.5.0.2434), distributed from the legitimate website daemon-tools.cc between approximately April 8, 2026, and May 5, 2026. Attackers gained unauthorized access to the vendor's (AVB Disc Soft) build or distribution infrastructure and trojanized three binaries: DTHelper.exe, DiscSoftBusServiceLite.exe, and DTShellHlp.exe. These files were digitally signed with the legitimate AVB Disc Soft code-signing certificate, allowing the malicious installers to appear trustworthy and bypass signature-based detection.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). A supply chain attack compromised the official installation packages of DAEMON Tools Lite (Windows versions 12.5.0.2421 through 12.5.0.2434), distributed from the legitimate website daemon-tools.cc between approximately April 8, 2026, and May 5, 2026. Attackers gained unauthorized access to the vendor's (AVB Disc Soft) build or distribution infrastructure and trojanize

Behobene Versionen

  • 12.6.0.2445

Threat-Hunting-Queries

Sentinel/Defender KQL

DeviceProcessEvents
| where FileName in~ ("DTHelper.exe", "DiscSoftBusServiceLite.exe", "DTShellHlp.exe")
| where InitiatingProcessFileName =~ "daemon-tools.cc"
| where InitiatingProcessCommandLine has_all ("install", "lite")
| project Timestamp, DeviceName, InitiatingProcessCommandLine, FileName, FolderPath, SHA256

Splunk SPL

index=* (DTHelper.exe OR DiscSoftBusServiceLite.exe OR DTShellHlp.exe) (daemon-tools.cc) (install OR lite) | table _time, host, CommandLine, FileName, Path, SHA256

Sigma

title: DAEMON Tools Lite Trojanized Binaries
status: experimental
description: Detects execution of known trojanized DAEMON Tools Lite binaries distributed via supply chain attack.
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith:
      - '\DTHelper.exe'
      - '\DiscSoftBusServiceLite.exe'
      - '\DTShellHlp.exe'
  condition: selection

Elastic ES|QL

from process where process.executable in ('DTHelper.exe', 'DiscSoftBusServiceLite.exe', 'DTShellHlp.exe') and process.parent.executable == 'daemon-tools.cc' and process.args in ('install', 'lite') | select @timestamp, host.name, process.command_line, process.executable, process.args, process.hash.sha256

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

Domains (1)

  • daemon-tools.cc

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Betroffene Produkte

  • cpe:2.3:a:disc-soft:daemon_tools:12.5.1:*:*:*:lite:*:*:*

Referenzen