CCleaner-malwarehack: wat het is en hoe u het kunt vermijden

Het lijkt erop dat CCleaner, een van de aanbevelingen van PCWorld voor de beste gratis software voor nieuwe pc's, uw pc mogelijk nog niet zo schoon heeft gehouden. In een grondige analyse van de populaire optimalisatie- en scrubsoftware heeft Cisco Talos een kwaadaardig stukje code ontdekt dat is geïnjecteerd door hackers en mogelijk meer dan 2 miljoen gebruikers heeft getroffen die de meest recente update hebben gedownload.

Noot van de redactie: dit artikel werd voor het eerst gepubliceerd op 18 september 2017, maar werd op 21 september bijgewerkt met details over de malware gericht op specifieke technologiebedrijven voor industriële spionage.

Op 13 september ontdekte Cisco Talos dat de officiële download van de gratis versies van CCleaner 5.33 en CCleaner Cloud 1.07.3191 bevatten ook "een kwaadaardige payload met een domeingeneratoralgoritme en hardcoded Command and Control-functionaliteit." Wat dat betekent is dat een hacker Avast Piriform's officiële build ergens in het ontwikkelingsproces dat is gebouwd om malware te installeren, heeft geïnfiltreerd ontworpen om gebruikersgegevens te stelen.

Cisco Talos vermoedt dat de aanvaller "een deel van (CCleaner's) ontwikkelings- of bouwomgeving en levera heeft aangetast die toegang heeft om malware in te voegen in de CCleaner-build die is vrijgegeven en gehost door de organisatie. "Persoonlijke gegevens van klanten liepen dus geen risico.

[Meer informatie: hoe verwijder je malware van je Windows-pc]

In een blogbericht van Paul Yung, vice-president van producten, zegt hij dat het bedrijf de aanval op 12 september heeft geïdentificeerd en de juiste actie had ondernomen nog voordat Cisco Talos hen op de hoogte bracht van hun ontdekking. Yung zegt dat de aanval beperkt was tot CCleaner en CCleaner Cloud op 32-bit Windows-systemen - gelukkig zullen de meeste moderne pc's waarschijnlijk de 64-bit-versie draaien.

Yung verzekert klanten dat de dreiging is opgelost en de 'rogue-server' is verwijderd. Hij zegt ook dat Piriform de toegang van hackers tot andere servers heeft afgesloten. Bovendien verplaatst het bedrijf alle gebruikers naar de nieuwste versie van de software, die al beschikbaar is op de website van het bedrijf (hoewel de release-opmerkingen alleen "kleine grote fixes" vermelden.

Het meest geruststellend stelt Yung dat Avast schijnbaar in staat om de dreiging te ontwapenen voordat deze enig kwaad kon doen. De bedoeling van de aanval is op dit moment onduidelijk, hoewel Avast zegt dat de code informatie over het lokale systeem kon verzamelen.

Cisco Talos

Update: Op 21 september onthulde Avast dat de malware was ontworpen om een ​​tweede fase payload aan geïnfecteerde computers in specifieke organisaties te leveren, en ten minste 20 machines in acht bedrijven contacteerden de commando- en controleserver. "Aangezien de logboeken slechts iets meer dan drie dagen werden verzameld, was het daadwerkelijke aantal computers dat de nuttige lading in de tweede fase ontving waarschijnlijk minstens in de orde van honderden", zegt Avast.

Cisco Talos bestudeerde ook de opdrachtserver van de malware en meldt dat het probeerde pc's te infiltreren in technologieorganisaties, waaronder Intel, Samsung, HTC, VMWare, Cisco zelf en anderen. Je ziet de volledige lijst rechts. Cisco Talos vermoedt dat de aanvallers van plan waren de malware te gebruiken om industriële spionage te plegen.

Wat te doen met CCleaner-malware

Persoonlijke gebruikers kunnen CCleaner 5.34 downloaden van de website van Avast als ze dit nog niet hebben gedaan. Eerdere releases zijn ook nog steeds beschikbaar op de website van het bedrijf, maar de geïnfecteerde versie is van de servers van het bedrijf verwijderd. U wilt ook een antivirusscan op uw computer uitvoeren. Als u hier last van hebt, raadt Cisco Talos u aan een back-up te gebruiken om uw pc te herstellen naar een staat vóór 15 augustus 2017, de datum waarop de gehackte versie werd vrijgegeven.

De impact op u thuis: Hoewel persoonlijke gebruikers binnen het doelgebied geen enkele invloed mogen ondervinden van deze geprobeerde aanval, is het nog steeds een enge gedachte. Terwijl Avast het probleem onder ogen kreeg en het probleemloos oploste, konden kleinere bedrijven misschien niet zo snel reageren. Zo werd eerder dit jaar vastgesteld dat een inbreuk op het Oekraïense softwarebedrijf MeDoc verantwoordelijk was voor de NotPetya ransomware. Ransomware wordt een verontrustende trend en als hackers infect-updateservers kunnen infecteren, kunnen ze malware naar zoveel mogelijk machines verspreiden.