Betroffene Einrichtungen
Bereich
Im Rahmen eines Supply-Chain-Angriffs wurden die offiziellen Installationspakete von DAEMON Tools Lite (Windows-Versionen 12.5.0.2421 bis 12.5.0.2434) kompromittiert, die zwischen etwa dem 8. April 2026 und dem 5. Mai 2026 über die legitime Website daemon-tools.cc verteilt wurden – die manipulierten Binärdateien DTHelper.exe, DiscSoftBusServiceLite.exe und DTShellHlp.exe waren dabei mit dem echten Code-Signing-Zertifikat von AVB Disc Soft signiert, sodass signaturbasierte Erkennungsverfahren umgangen wurden. Ein Angreifer, der die trojanisierten Pakete auf einem System installiert hat, kann durch die eingebettete Schadsoftware potenziell dauerhaften Zugriff erlangen, Daten exfiltrieren oder weitere Schadstufen nachladen. DAEMON Tools Lite wird in Kliniken und Gesundheitseinrichtungen mitunter auf Verwaltungs- oder klinischen Arbeitsstationen eingesetzt, etwa zur Verwaltung virtueller Laufwerke für Softwareverteilung oder Legacy-Anwendungen; sofern betroffene Versionen im Klinikumfeld installiert wurden, besteht das Risiko einer vollständigen Kompromittierung des jeweiligen Systems und – bei unzureichender Netzwerksegmentierung – einer Ausbreitung in sensible Netzbereiche. IT-Verantwortliche sollten unverzüglich prüfen, ob die betroffenen Versionen im Einsatz sind, und umgehend Maßnahmen einleiten.
1 Alle Installationen von DAEMON Tools Lite in den betroffenen Versionen 12.5.0.2421 bis 12.5.0.2434 identifizieren und sofort deinstallieren; anschließend ausschließlich eine nicht kompromittierte Version (außerhalb des Zeitraums 08.04.–05.05.2026 bezogen) neu installieren oder den Einsatz bis zur Herstellerbestätigung einer sauberen Version aussetzen.
2. Betroffene Systeme vollständig auf Indicators of Compromise (IoC) untersuchen – insbesondere auf auffälliges Verhalten der Prozesse DTHelper.exe, DiscSoftBusServiceLite.exe und DTShellHlp.exe – und im Verdachtsfall eine forensische Analyse sowie Neuaufsetzen des Systems einleiten.
3. Netzwerkverkehr der betroffenen Systeme rückwirkend (soweit Logs vorhanden) auf ungewöhnliche ausgehende Verbindungen prüfen und Netzwerksegmentierung überprüfen, um eine mögliche Ausbreitung in klinische oder administrative Netzbereiche zu erkennen und einzudämmen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja