CCleaner kompromittert: sjekk bedre PCen din
- Kategori: Sikkerhet
Piriform, produsenter av den populære filrenseren CCleaner, bekreftet mandag 18. januar 2017 at hackere klarte å angripe selskapets datanettverk med hell.
Hackerne kompromitterte to versjoner av CCleaner i angrepet som har blitt brukt av opptil 3% av selskapets brukerbase.
De berørte versjonene er CCleaner 5.33.6162 og CCleaner Cloud 1.07.3191. I følge Piriform var bare 32-bits versjoner av applikasjonene kompromittert og distribuert ved bruk av selskapets egen infrastruktur.
Selskapet ber brukere oppdatere sin versjon av programmet til den siste tilgjengelige utgivelsen hvis det ikke allerede er gjort. Den siste versjonen av CCleaner er versjon 5.34 i skrivende stund.
- CCleaner 5.33.6162 ble utgitt 15. august 2017, og en oppdatert ikke-kompromittert versjon ble utgitt 12. september 2017.
- CCleaner Cloud 1.07.3191 ble utgitt 24. august 2017, og en ikke-kompromittert versjon av programmet 15. september 2017.
Sikkerhetsforskere av Ciscos Talos Group avslørt detaljer om det vellykkede forsyningskjedeangrepet. Talos Group informerte Avast, morselskapet til Piriform, om situasjonen.
Talos Group 'identifiserte en spesifikk kjørbar' under tester av selskapets nye utnyttelsesdeteksjonsverktøy som kom fra CCleaner 5.33-installasjonsprogrammet som igjen ble levert av legitime CCleaner-nedlastingsservere.
Nedlastbar kjørbar ble signert med en gyldig Piriform-signatur. Installasjonsprogrammet inneholdt en 'ondsinnet nyttelast som inneholdt en domenegenerasjonsalgoritme' så vel som 'hardkodet kommando og kontroll' -funksjonalitet.
Talos-forskerne konkluderte med at den ondsinnede nyttelasten ble fordelt mellom utgivelsen av versjon 5.33 15. august 2017 og utgivelsen av versjon 5.34 12. september 2017.
Forskerne tror det er sannsynlig at 'en ekstern angriper kompromittert en del' av Piriforms utviklings- eller bygningsmiljø, og brukte tilgangen til å sette malware inn i CCleaner-bygget. Et annet alternativ som forskerne vurderer er at en innsider inkluderte den ondsinnede koden.
CCleaner-brukere som vil forsikre seg om at den kompromitterte versjonen ikke fremdeles er på systemet, vil kanskje skanne den på Virustotal , eller skann den med ClamAV, som den eneste antivirusprogramvaren som oppdager trusselen akkurat nå.
Du kan laste ned gratis ClamAV fra dette nettstedet.
Den ondsinnede nyttelasten oppretter registernøkkelen HKLM SOFTWARE Piriform Agomo: og brukte den til å lagre forskjellig informasjon.
piriform utstedt en uttalelse 18. september 2017. I følge den uttalelsen kan ikke-sensitive data ha blitt overført til en server i USA.
Kompromisset kan føre til overføring av ikke-sensitive data (datamaskinnavn, IP-adresse, liste over installert programvare, liste over aktiv programvare, liste over nettverkskort) til en tredjeparts datamaskinserver i USA. Vi har ingen indikasjoner på at andre data er sendt til serveren.
Paul Yung, selskapets administrerende direktør for produkter, publisert en teknisk vurdering av angrepet på firmabloggen også.
Det eneste forslaget som Piriform har, er å oppdatere til den nyeste versjonen.
Lukkende ord
De kompromitterte versjonene av CCleaner og CCleaner Cloud ble distribuert i nesten en måned. Med over 20 millioner nedlastinger per måned, og oppdateringene, er det et stort antall PC-er som har blitt påvirket av dette.