Od 8 kwietnia do 5 maja 2026 oficjalna strona DAEMON Tools wydawała instalator z backdoorem, podpisany prawdziwym certyfikatem. Sama aktualizacja do 12.6 nie wystarczy: trzeba ustalić, gdzie program był, i sprawdzić te komputery.
Zwykła rada przy podatnościach brzmi: zaktualizuj. Ten przypadek jest jej odwrotnością. Problem trafił do firm razem z instalatorem pobranym z właściwego adresu, podpisanym prawdziwym certyfikatem producenta. Poniżej: co dokładnie podłożono, jak długo trwało okno pobrań, dlaczego sama aktualizacja nie zamyka sprawy i co powinna zrobić firma, która oprogramowania nie pisze, tylko je instaluje.
Większość numerów CVE opisuje pomyłkę programisty. CVE-2026-8398 należy do innej kategorii: w programie nie ma błędu, jest za to obcy kod celowo wbudowany w gotowe pakiety instalacyjne. To atak na łańcuch dostaw.
Napastnicy dostali się do infrastruktury, w której producent DAEMON Tools Lite buduje i wydaje pakiety instalacyjne. Zmodyfikowali trzy pliki wchodzące w skład instalacji: DTHelper.exe, DiscSoftBusServiceLite.exe oraz DTShellHlp.exe. Tak przygotowane instalatory wychodziły z oficjalnej witryny daemon-tools.cc mniej więcej od 8 kwietnia do 5 maja 2026 roku. Atak wykrył i opisał zespół Kaspersky GReAT.
CISA, amerykańska agencja bezpieczeństwa infrastruktury, wpisała ten numer do katalogu KEV, czyli listy podatności z potwierdzonym wykorzystaniem w realnych atakach. Tego samego dnia do katalogu trafiły jeszcze dwa inne przypadki podłożonego kodu: rozszerzenie Nx Console (CVE-2026-48027) i pakiety TanStack (CVE-2026-45321).
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-8398 |
Data publikacji CVE | 15 maja 2026 (rekord przydzielony przez Kaspersky jako CNA) |
Data dodania do CISA KEV | 27 maja 2026 |
Termin CISA dla urzędów federalnych USA | 30 maja 2026 (trzy dni) |
Produkt | DAEMON Tools Lite dla Windows, bezpłatna edycja; producent Disc Soft Limited (w rekordzie CVE: AVB Disc Soft) |
Wersje zagrożone | instalatory 12.5.0.2421 do 12.5.0.2434, oznaczane przez producenta jako wersja 12.5.1 (free) |
Wersje bezpieczne | 12.6.0.2445 i nowsze (wydanie 12.6 opublikowane 5 maja 2026) |
Nie dotyczy | płatnych wersji DAEMON Tools Lite, DAEMON Tools Ultra, DAEMON Tools Pro (według producenta) |
Typ podatności | CWE-506: osadzony złośliwy kod (trojanizowany instalator) |
Ocena CVSS | 9,8 w CVSS 3.1 oraz 9,3 w CVSS 4.0, obie KRYTYCZNE (oceny Kaspersky; NVD nie wystawiła własnej) |
Wykorzystanie w ransomware (KEV) | Unknown: brak publicznie potwierdzonych danych |
Uwaga o wersjach: rekord w NVD zapisuje zakres na trzy sposoby: opis słowny (12.5.0.2421 do 12.5.0.2434), pole maszynowe z błędną granicą "lessThan 2.6.0" oraz CPE z numerem 12.5.1. Przy rozbieżnościach kieruj się opisem słownym i komunikatem producenta, a nie automatycznym porównaniem numerów.
Wyobraź sobie, że od lat zamawiasz kartony do pakowania zamówień u tego samego dostawcy. Pewnego dnia ktoś w jego drukarni podmienia matrycę i na każdym pudełku pojawia się cudzy numer infolinii. Towar przychodzi z fakturą, od stałego dostawcy, pod właściwym adresem. Twój magazyn nie zrobił nic złego, a mimo to wysyła klientom coś, co działa na Twoją szkodę.
Tak właśnie wyglądał ten atak. Pracownik pobrał DAEMON Tools Lite ze strony producenta, Windows pokazał prawidłowego wydawcę, podpis cyfrowy się zgadzał. W środku był jednak kod, który po każdym starcie komputera łączył się z serwerem przestępców i czekał na polecenia.
Scenariusz | Normalnie | Z zainfekowanym instalatorem |
|---|---|---|
Źródło pobrania | Oficjalna strona daemon-tools.cc | Ta sama oficjalna strona |
Podpis cyfrowy | Prawdziwy certyfikat producenta | Ten sam prawdziwy certyfikat |
Co robi program po starcie | Montuje obrazy płyt jako wirtualne napędy | Dodatkowo wysyła nazwę komputera do serwera przestępców |
Kto może wydawać polecenia | Tylko użytkownik komputera | Operator serwera env-check.daemontools[.]cc |
Co trafia na zewnątrz | Nic poza sprawdzeniem aktualizacji | Nazwa komputera, domena, lista procesów i zainstalowanych programów |
Czy antywirus reaguje | Nie ma powodu | Podpisany plik budzi mniej podejrzeń, wykrycie nie jest oczywiste |
Słowniczek: podpis cyfrowy (code signing) to elektroniczna pieczęć producenta na pliku; potwierdza, kto plik wydał, ale nie to, że w procesie budowania nikt niczego nie dopisał.
Słowniczek: backdoor to ukryte "tylne drzwi", czyli kod pozwalający komuś z zewnątrz wydawać polecenia komputerowi bez wiedzy użytkownika.
Słowniczek: atak na łańcuch dostaw to włamanie nie do Twojej firmy, tylko do dostawcy, któremu ufasz, po to, żeby jego produkt sam dostarczył złośliwy kod.
Tu nie ma skanowania internetu w poszukiwaniu podatnych serwerów. Ofiara sama instaluje program. Dalszy przebieg, zrekonstruowany na podstawie raportu Kaspersky, wygląda następująco.
Timeline ataku:
Mogę Ci jakoś pomóc?
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
0 | 27 marca 2026 | Rejestracja domeny env-check.daemontools[.]cc, łudząco podobnej do daemon-tools.cc | Przygotowany serwer dowodzenia |
1 | od 8 kwietnia 2026 | Podmiana trzech plików w oficjalnych instalatorach | Zainfekowane pakiety na stronie producenta |
2 | T+0 min | Pracownik pobiera i instaluje DAEMON Tools Lite | Zmodyfikowane pliki trafiają do C:\Program Files\DAEMON Tools Lite |
3 | T+1 min (każdy start systemu) | Ukryty wątek wysyła zapytanie z pełną nazwą komputera | Przestępcy wiedzą, że maszyna jest aktywna |
4 | minuty do dni | Serwer odsyła polecenie cmd.exe i PowerShell pobierające envchk.exe | Profil komputera: MAC, nazwa, domena, procesy, programy, ustawienia regionalne |
5 | dni | Wybór interesujących celów na podstawie profilu | Większość maszyn zostaje tylko "obserwowana" |
6 | dni do tygodni | Na wybrane komputery trafia minimalistyczny backdoor | Pobieranie plików, polecenia systemowe, kod uruchamiany w pamięci |
7 | tygodnie | Na jednym celu wdrożony QUIC RAT z wieloma kanałami komunikacji | Trwały, trudny do wykrycia dostęp |
Trzy ładunki, trzy poziomy zainteresowania przestępców:
Ładunek | Na ilu komputerach (wg Kaspersky) | Co potrafi |
|---|---|---|
envchk.exe (zbieracz informacji) | duża część zainfekowanych maszyn | Wysyła MAC, nazwę komputera, domenę, listę procesów i programów, ustawienia regionalne |
Minimalistyczny backdoor | około kilkunastu maszyn | Pobiera pliki, wykonuje polecenia, uruchamia kod w pamięci |
QUIC RAT | jedna organizacja | Komunikacja przez HTTP, TCP, UDP, WSS, QUIC, DNS i HTTP/3, wstrzykiwanie kodu do notepad.exe i conhost.exe |
Konkretne scenariusze zagrożenia:
Najważniejsza różnica względem typowej luki: aktualizacja zamyka źródło, ale nie cofa skutków. Jeśli zainfekowany instalator działał na komputerze choćby kilka dni, trzeba założyć, że przestępcy mogli już pobrać profil maszyny, a w pechowym przypadku zostawić backdoor działający niezależnie od DAEMON Tools.
Program tego typu rzadko przechodzi przez zakupy. Zwykle instaluje go pracownik, który dostał od kontrahenta obraz płyty i musiał go otworzyć od razu. Takie narzędzia nie figurują w ewidencji, więc w dniu takim jak ten nikt nie wie, czy firmy to dotyczy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odizolowanie i reinstalacja zainfekowanych stacji, przestój pracowników | Godziny do dni | 2 000 do 8 000 zł na stację (praca IT i przestój) |
Bezpieczeństwo danych | Wyciek profilu komputerów, a przy backdoorze także dokumentów i haseł | Dni do tygodni | 50 000 do 500 000 zł (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Wykorzystanie przejętej stacji do oszustw płatniczych lub ataku na systemy finansowe | Tygodnie | od kilkudziesięciu tysięcy zł do utraty środków z przelewów |
Reputacyjny | Informowanie klientów o incydencie, utrata zaufania kontrahentów | Tygodnie | 5 do 15% klientów w okresie 12 miesięcy |
Prawny | Zgłoszenie do UODO w 72 godziny, obowiązki NIS2, możliwe kary | Miesiące | kary RODO do 20 mln EUR lub 4% rocznego obrotu |
Kwoty i odsetki w tabeli to szacunki poglądowe dla małej lub średniej firmy, a nie dane z opisanego incydentu; jedynie limit kar RODO wynika wprost z przepisów.
Matryca decyzyjna dla managera:
Sytuacja w firmie | Decyzja | Kto decyduje |
|---|---|---|
Brak DAEMON Tools Lite na stacjach | Zamknąć temat, wpisać do rejestru działań | IT Manager |
Program zainstalowany przed 8 kwietnia i nieaktualizowany w oknie | Aktualizacja do 12.6.0.2445, weryfikacja wersji | IT Manager |
Instalacja lub aktualizacja w oknie 8 kwietnia do 5 maja 2026 | Traktować stację jako potencjalnie przejętą: izolacja, analiza, reinstalacja | Dyrektor IT z zarządem |
Połączenia z serwerem przestępców widoczne w logach | Uruchomić procedurę incydentu, ocenić zgłoszenie do UODO i CSIRT | Zarząd, IOD, zespół reagowania |
Macierz ryzyka (■ = obszary, X = CVE-2026-8398 dla firmy, w której program instalowano w oknie kwiecień-maj 2026):
Wpływ
5 | X ← KRYTYCZNA (pełna kontrola nad stacją)
4 | ■ ■ ■
3 | ■ ■ ■ ■
2 | ■ ■ ■ ■ ■
1 | ■ ■ ■ ■ ■
+-----------
1 2 3 4 5 Prawdopodobieństwo
Instalacja z okna 8.04-5.05.2026: prawdopodobieństwo 4-5 (kod działał od pierwszego startu)
Brak instalacji w tym oknie: prawdopodobieństwo 1 (sprawa zamknięta po weryfikacji) Kolejność ma znaczenie: najpierw ustal, czy i gdzie program był, potem sprzątaj. Samo kliknięcie "aktualizuj" w tym przypadku to za mało.
Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Inwentaryzacja: które komputery mają DAEMON Tools Lite i w jakiej wersji (szukaj 12.5.0.2421 do 12.5.0.2434 i 12.5.1) | Dzisiaj | IT Manager | ☐ |
🔴 NATYCHMIAST | Zablokowanie na firewallu i DNS domeny env-check.daemontools[.]cc i adresu 38.180.107[.]76 | Dzisiaj | IT Security | ☐ |
🔴 NATYCHMIAST | Odłączenie od sieci stacji z wersją zagrożoną do czasu sprawdzenia | Dzisiaj | Administrator sieci | ☐ |
🟠 PILNIE | Odinstalowanie wersji zagrożonej, pełne skanowanie, instalacja 12.6.0.2445 lub nowszej tylko jeśli program jest potrzebny | Do jutra | Helpdesk | ☐ |
🟠 PILNIE | Szukanie śladów: pliki envchk.exe, cdg.exe, cdg.tmp, crypto.dll w C:\Windows\Temp, mcrypto.chiper i mcrypto.dat w C:\ProgramData\Microsoft lub AppData | 24-48h | Incident Response | ☐ |
🟠 PILNIE | Zmiana haseł użytkowników, którzy logowali się na zagrożonych stacjach, szczególnie do bankowości i poczty | 48h | IT Security | ☐ |
🟡 WAŻNIE | Przegląd logów od 8 kwietnia 2026: zdarzenia 4688 (nowe procesy) i 4104 (PowerShell) z poleceniami DownloadFile | W ciągu tygodnia | SOC | ☐ |
🟡 WAŻNIE | Wprowadzenie automatycznej ewidencji oprogramowania na stacjach | W ciągu miesiąca | IT Manager | ☐ |
Mogę Ci jakoś pomóc?
Zestawienie przed i po reakcji:
Obszar | Przed (stan typowy) | Po (stan docelowy) |
|---|---|---|
Wiedza o zainstalowanych programach | Brak, pytanie wymaga obejścia stanowisk | Automatyczna ewidencja, odpowiedź w minutę |
Wersja DAEMON Tools Lite | 12.5.0.2421 do 12.5.0.2434 (12.5.1 free) | Odinstalowany albo 12.6.0.2445 i nowsze |
Ruch do env-check.daemontools[.]cc | Niewidoczny | Zablokowany i monitorowany |
Zaufanie do instalatorów | "Podpisany i ze strony producenta, więc bezpieczny" | Podpis plus kontrola zachowania programu po instalacji |
Jeśli nie możesz od razu odinstalować programu lub sprawdzić komputera:
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada domeny i adresu serwera przestępców na DNS i firewallu | 70% (odcina znane kanały, nie nowe) | Wysoka |
Zablokowanie usługi DiscSoftBusServiceLite i autostartu DTHelper.exe | 80% | Średnia |
Reguła EDR alarmująca na PowerShell pobierający pliki do Temp | 75% | Średnia |
Izolacja stacji w osobnej sieci VLAN bez dostępu do serwerów | 95% | Niska |
Reinstalacja systemu z zaufanego obrazu | 100% | Niska |
Wartości efektywności to szacunki poglądowe, a nie wyniki pomiarów dla tego incydentu.
Kaspersky odnotował kilka tysięcy prób infekcji w ponad 100 krajach, najwięcej w Rosji, Brazylii, Turcji, Hiszpanii, Niemczech, Francji, Włoszech i Chinach. Około 10% dotkniętych komputerów należało do firm i instytucji. Drugi etap, czyli backdoor, trafił tylko na kilkanaście maszyn, co wskazuje na atak celowany: szeroka sieć, potem staranny wybór ofiar.
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK: potwierdzone przez CISA (KEV) i raport Kaspersky |
Grupy przestępcze | Brak atrybucji; w kodzie narzędzia envchk.exe są napisy po chińsku, Kaspersky nie przypisuje ataku konkretnej grupie |
Kampanie ransomware | Brak publicznie potwierdzonych danych (KEV: Unknown); cel ataku, szpiegostwo czy wymuszenie, pozostaje niejasny |
Ocena CVSS | 9,8/10 (CVSS 3.1) i 9,3/10 (CVSS 4.0), KRYTYCZNA |
PoC dostępny publicznie? | Nie dotyczy: to gotowy złośliwy kod; Kaspersky opublikował wskaźniki kompromitacji (skróty plików, domena, adres IP) |
Liczba atakowanych | kilka tysięcy prób infekcji, ponad 100 krajów, backdoor na kilkunastu maszynach (administracja, nauka, produkcja, handel w Rosji, Białorusi i Tajlandii), QUIC RAT w jednej instytucji edukacyjnej w Rosji |
EPSS | 1,456% (percentyl ok. 72, stan na 13 września 2026) |
Reakcja producenta | usunięcie plików i wydanie 12.6 w mniej niż 12 godzin od zgłoszenia |
Niska wartość EPSS może dziwić przy pozycji z katalogu potwierdzonych ataków. Wskaźnik ten szacuje szansę na nowe ataki z zewnątrz w ciągu 30 dni. Tutaj atak już się wydarzył w zamkniętym oknie czasowym i nie da się go powtórzyć na kimś, kto zainfekowanego instalatora nie pobrał. Dla firmy, która taki instalator uruchomiła, ryzyko nie jest niskie, tylko przesunięte w przeszłość.
Kaspersky wskazuje też szerszy trend: w 2026 roku badał już przypadki podłożonego kodu w eScan (styczeń), Notepad++ (luty) i CPU-Z (kwiecień), a atak na DAEMON Tools pozostawał niewykryty przez około miesiąc, podobnie jak głośny atak na 3CX w 2023 roku.
Linia czasu incydentu:
2026-03-27: Rejestracja domeny env-check.daemontools[.]cc (WHOIS wg Kaspersky)
2026-04-08: Pierwsze zainfekowane instalatory na daemon-tools.cc (12.5.0.2421)
2026-05-05: ok. 07:00 GMT zgłoszenie do producenta; raport Kaspersky; wydanie 12.6
2026-05-06: Komunikat producenta; potwierdzenie, że 12.6.0.2445 jest czysta
2026-05-15: Publikacja CVE-2026-8398 (CVSS 9,8 / 9,3)
2026-05-27: Wpis do katalogu CISA KEV
2026-05-30: Termin usunięcia dla urzędów federalnych USA
2026-09-14: TUTAJ JESTEŚMY - sprawdź, czy instalator był w firmie, i posprzątaj po nim Komunikat producenta: https://blog.daemon-tools.cc/post/security-incident
Raport techniczny ze wskaźnikami kompromitacji: https://securelist.com/daemon-tools-backdoor/119654/
Mogę Ci jakoś pomóc?
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Pobrać listę oprogramowania ze wszystkich stacji i odszukać DAEMON Tools Lite | IT Manager | DZISIAJ |
☐ | Porównać skróty instalatorów i plików z listą wskaźników w raporcie Kaspersky | IT Security | DZISIAJ |
☐ | Zakomunikować pracownikom, żeby nie instalowali ponownie programu na własną rękę | Project Manager | DZISIAJ |
☐ | Odinstalować wersję zagrożoną; jeśli program jest potrzebny, zainstalować 12.6.0.2445 lub nowszą z https://www.daemon-tools.cc | DevOps / Helpdesk | DO JUTRA |
☐ | Sprawdzić logi DNS i proxy pod kątem połączeń z env-check.daemontools[.]cc i 38.180.107[.]76 od 8 kwietnia | SOC | DO JUTRA |
☐ | Przy każdym trafieniu w logach: reinstalacja stacji i zmiana haseł | Incident Response | DO JUTRA |
☐ | Ocenić obowiązek zgłoszenia naruszenia do UODO (72 godziny od stwierdzenia) | Inspektor Ochrony Danych | 72h |
☐ | Potwierdzić zamknięcie działań i zapisać wnioski | IT Manager | W ciągu tygodnia |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy na którymkolwiek komputerze jest lub był DAEMON Tools Lite 12.5.0.2421 do 12.5.0.2434 (12.5.1 free)? | TAK / NIE | 🔴 |
2 | Kiedy dokładnie go zainstalowano: przed 8 kwietnia, w oknie do 5 maja czy później? | data instalacji dla każdej stacji | 🔴 |
3 | Czy w logach DNS lub firewalla są połączenia z env-check.daemontools[.]cc lub 38.180.107[.]76? | TAK / NIE | 🔴 |
4 | Czy mamy automatyczną ewidencję programów instalowanych przez pracowników? | TAK / NIE | 🟠 |
5 | Czy mamy EDR lub inne narzędzie, które widzi, jakie procesy uruchamia PowerShell? | TAK / NIE | 🟠 |
6 | Czy przechowujemy logi z ostatnich pięciu miesięcy (od kwietnia 2026)? | TAK / NIE | 🟠 |
7 | Czy pracownicy mogą sami instalować oprogramowanie z uprawnieniami administratora? | TAK / NIE | 🟡 |
8 | Czy mamy plan odzyskiwania po incydencie i obraz systemu do szybkiej reinstalacji stacji? | TAK / NIE | 🟡 |
Pytania diagnostyczne dla managera:
Najważniejszy wniosek: zdanie "pobrane ze strony producenta i antywirus nic nie zgłosił" opisuje dwie kontrole, które w tym ataku obie przepuściły plik. Kontrolą działającą niezależnie od nich jest ewidencja oprogramowania i obserwacja zachowania: czy program do montowania obrazów płyt łączy się z serwerami, których nie potrzebuje, i uruchamia procesy niezwiązane ze swoją funkcją.
Źródła: katalog CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-8398), komunikat producenta (https://blog.daemon-tools.cc/post/security-incident), raport Kaspersky Securelist (https://securelist.com/daemon-tools-backdoor/119654/).
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykuł250 starego sprzętu i jedno pytanie. Jak się go legalnie pozbyć? Potrzebny jest audyt sprzętu aby ustalić czy nadaje się on do użytku, jakiej jest klasy oraz jaka jest jego wartość. Nie zapominajmy o obowiązku kasowania danych. Tym wszystkim zajedliśmy się dla naszego klienta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.