CVE-2026-8398

Ataque à cadeia de suprimentos comprometeu os instaladores oficiais do DAEMON Tools Lite para Windows, distribuídos pelo site legítimo daemon-tools.cc entre 8 de abril e 5 de maio de 2026. Três binários do produto foram trojanizados e assinados com o certificado de code-signing legítimo da AVB Disc Soft, o que deu ao malware aparência de arquivo confiável e permitiu evitar detecção baseada em assinatura. A Kaspersky identificou milhares de tentativas de infecção em mais de 100 países, mas payloads de segundo estágio só foram entregues a uma dúzia de máquinas em organizações de varejo, ciência, governo e manufatura — indício de campanha direcionada, não massiva.

A falha é classificada como CWE-506 (Embedded Malicious Code): não é um bug de lógica ou memória, e sim inserção de código malicioso dentro de binários legítimos durante o processo de build/distribuição do fornecedor. Os arquivos afetados — DTHelper.exe, DiscSoftBusServiceLite.exe e DTShellHlp.exe — ficam no diretório de instalação (ex.: C:\Program Files\DAEMON Tools Lite) e são executados automaticamente na inicialização do sistema.

O backdoor foi implantado no código de inicialização do CRT (C Runtime), ou seja, roda antes mesmo da lógica principal do programa, em uma thread dedicada. Essa thread envia requisições GET para https://env-check.daemontools[.]cc/?s= — um domínio typosquat que imita o daemon-tools[.]cc legítimo, registrado no WHOIS em 27 de março de 2026, cerca de uma semana antes do início da campanha.

O servidor de C2 responde com um comando de shell executado via cmd.exe, que baixa um executável de um IP hardcoded (38.180.107[.]76) para %TEMP%, executa e depois se autodeleta. A partir desse mecanismo os atacantes distribuíram ao menos um coletor de informações (.NET, com strings em chinês no código) que extrai MAC address, hostname, domínio DNS, processos em execução, software instalado e locale do sistema — enviados de volta ao C2. A Kaspersky também documentou estágios adicionais (um backdoor minimalista e um RAT sobre QUIC) entregues seletivamente às vítimas de maior interesse, mas não detalhou publicamente seu funcionamento interno.

O vetor CVSS4 (AV:N/AC:L/AT:N/PR:N/UI:N) reflete a perspectiva de que, uma vez instalado o pacote comprometido, a execução do backdoor e a comunicação com o C2 ocorrem sem interação adicional do usuário. Mas essa métrica descreve o comportamento pós-infecção, não a via de entrada: a pré-condição real é ter baixado e instalado um instalador comprometido do DAEMON Tools Lite dentro da janela de exposição.

Não há exploração remota de uma falha de software tradicional aqui — o vetor é a cadeia de distribuição do próprio fornecedor. O pré-requisito é ter instalado o DAEMON Tools Lite versão 12.5.0.2421 a 12.5.0.2434 baixado do site oficial durante a janela comprometida (8 de abril a 5 de maio de 2026). Qualquer usuário que tenha instalado essa versão nesse período está potencialmente infectado, independentemente de privilégios ou configuração — a assinatura digital legítima é justamente o que tornou o ataque eficaz contra controles baseados em confiança em certificados.

Após a instalação, o backdoor ativa automaticamente no boot, faz beacon para o domínio typosquat de C2 e aguarda comando. A entrega de payloads de segundo estágio foi seletiva: dos milhares de sistemas que fizeram beacon, apenas cerca de uma dúzia — em setores de varejo, ciência, governo e manufatura — recebeu módulos adicionais (coletor de informações, backdoor, RAT via QUIC), o que sugere triagem manual ou automatizada dos alvos por parte do atacante antes de escalar o acesso.

A CISA incluiu a CVE no catálogo KEV com confirmação de exploração ativa e prazo de remediação de 30 de maio de 2026 (vulnerabilidade adicionada em 27/05/2026). Artefatos em chinês no código do coletor de informações são um indício levantado pela Kaspersky, não uma atribuição formal — a pesquisadora explicitamente evita atribuir a campanha a um ator específico.

O fornecedor (Disc Soft Limited/AVB Disc Soft) removeu todos os pacotes comprometidos da distribuição e lançou a versão 12.6.0.2445 em 5 de maio de 2026, que não contém o comportamento malicioso — confirmado por análise atualizada da Kaspersky. Quem instalou a versão afetada (referida pelo fornecedor como 12.5.1, correspondente ao intervalo de build 12.5.0.2421–12.5.0.2434 identificado pela Kaspersky) deve desinstalar o software, executar varredura completa com solução de segurança e reinstalar a versão 12.6 a partir do site oficial.

Produtos pagos do DAEMON Tools Lite e as linhas DAEMON Tools Ultra e DAEMON Tools Pro não foram afetados, segundo o fornecedor. Bloqueio de rede para o domínio env-check.daemontools[.]cc e para o IP 38.180.107[.]76 funciona como controle compensatório imediato para conter comunicação de C2 em máquinas ainda não limpas, mas não remove o backdoor instalado — é contenção, não remediação.

O que não funciona como mitigação: confiar na assinatura digital do binário como prova de integridade. Nesse incidente, os arquivos maliciosos estavam assinados com o certificado legítimo do fornecedor, então verificação de assinatura por si só não teria detectado o comprometimento — é necessário hash de arquivo, comportamento de rede ou EDR observando a atividade pós-execução.

No tráfego de rede: requisições GET para env-check.daemontools[.]cc (domínio typosquat, distinto do legítimo daemon-tools[.]cc) contendo o hostname completo da máquina como parâmetro, e comunicação subsequente com o IP 38.180.107[.]76 para download de payloads em C:\Windows\Temp. No host: presença de DTHelper.exe, DiscSoftBusServiceLite.exe ou DTShellHlp.exe com hash divergente das versões limpas (a Kaspersky publicou hash do coletor de informações envchk.exe — SHA1 2d4eb55b01f59c62c6de9aacba9b47267d398fe4 — como IOC), execução de cmd.exe/powershell filho desses processos no boot, e artefatos executáveis temporários autodeletados em %TEMP%.

A Kaspersky disponibilizou regras de detecção para KEDR, KATA e Kaspersky SIEM; ambientes sem essas soluções ou sem captura de tráfego DNS/HTTP histórico têm baixa chance de identificar retroativamente se houve beacon durante a janela de exposição — a ausência de log de DNS/proxy para o período de abril–maio de 2026 é uma lacuna real de visibilidade, não apenas teórica.