DAEMON Tools Lite 공식 설치 패키지 공급망 공격 및 백도어 삽입 취약점 (CVE-2026-8398)

1. 즉각적인 조치 사항 (침해 사고 대응)

해당 기간 내에 DAEMON Tools Lite를 설치했거나 업데이트한 경우, 즉시 네트워크 연결을 차단하고 아래 조치를 수행하십시오.

• 프로그램 삭제: 제어판에서 DAEMON Tools Lite를 즉시 삭제합니다.
• 프로세스 및 파일 검사: 아래 경로에 존재하는 파일의 해시를 확인하고 프로세스를 강제 종료하십시오.
• C:\Program Files\DAEMON Tools Lite\DTHelper.exe
• C:\Program Files\DAEMON Tools Lite\DiscSoftBusServiceLite.exe
• C:\Program Files\DAEMON Tools Lite\DTShellHlp.exe

2. 공식 패치 적용

공식 벤더사 권고에 따라 백도어가 제거되고 디지털 서명이 재발급된 안전한 최신 버전으로 재설치하십시오.

3. 침해 지표(IoC) 기반 탐지 룰 (YARA)

기업 보안 담당자는 아래 YARA 룰을 활용하여 엔드포인트 내 악성 바이너리 존재 여부를 스캔하십시오.

rule Detect_DaemonTools_Backdoor_CVE_2026_8398 {
    meta:
        description = "Detects trojanized DAEMON Tools Lite binaries"
        author = "Security Operations"
        cve = "CVE-2026-8398"
    strings:
        $signer = "AVB Disc Soft"
        $file1 = "DTHelper.exe" ascii
        $file2 = "DiscSoftBusServiceLite.exe" ascii
    condition:
        uint16(0) == 0x5a4d and ($signer and ($file1 or $file2))
}

본 취약점은 AVB Disc Soft의 빌드 또는 배포 인프라가 침해당해 발생한 전형적인 공급망 공격(Supply Chain Attack)입니다. 공격자는 공식 설치 패키지 내의 핵심 바이너리인 DTHelper.exe, DiscSoftBusServiceLite.exe, DTShellHlp.exe에 백도어 코드를 삽입(Trojanized)하였습니다.

특히, 이 악성 바이너리들은 합법적인 AVB Disc Soft의 코드 서명 인증서로 디지털 서명되어 배포되었습니다. 이로 인해 일반적인 시그니처 기반 백신(AV) 및 Windows SmartScreen 등의 보안 솔루션이 이를 신뢰할 수 있는 파일로 오인하여 탐지를 우회하는 심각한 결과를 초래했습니다. 공격자는 이 백도어를 통해 감염된 시스템에서 임의 명령 실행, 추가 악성코드 다운로드 및 정보 탈취 등 시스템 권한을 완전히 장악할 수 있습니다. 본 취약점은 실제 야생에서 적극적으로 악용되고 있어 CISA KEV에 등재되었으며, EPSS 점수가 0.94에 달해 즉각적인 대응이 필요합니다.