CCleaner компрометиран: по-добре проверете вашия компютър
- Категория: Сигурност
Piriform, създателите на популярната програма за почистване на файлове CCleaner, потвърдиха в понеделник на 18-ти, 2017 г., че хакерите успяха да атакуват успешно компютърната мрежа на компанията.
Хакерите компрометираха две версии на CCleaner при атаката, които са били използвани до 3% от потребителската база на компанията.
Засегнатите версии са CCleaner 5.33.6162 и CCleaner Cloud 1.07.3191. Според Piriform само 32-битовите версии на приложенията са компрометирани и разпространени, използвайки собствената инфраструктура на компанията.
Компанията моли потребителите да актуализират своята версия на програмата до последната налична версия, ако това вече не е направено. Последната версия на CCleaner е версия 5.34 към момента на писането.
- CCleaner 5.33.6162 бе пуснат на 15 август 2017 г., а актуализирана неконтролирана версия беше пусната на 12 септември 2017 г.
- CCleaner Cloud 1.07.3191 бе пуснат на 24 август 2017 г., а неконтролирана версия на програмата на 15 септември 2017 г.
Изследователи по сигурността на Talos Group на Cisco разкри подробности за успешната атака на веригата за доставки. Talos Group информира Avast, компанията майка на Piriform, за ситуацията.
Talos Group „идентифицира специфичен изпълним файл“ по време на тестове на новия инструмент за откриване на експлоатация на компанията, който идва от инсталатора на CCleaner 5.33, който от своя страна беше доставен от законни сървъри за изтегляне на CCleaner.
Изпълняващият файл за изтегляне е подписан с валиден подпис на Piriform. Инсталаторът съдържаше „злонамерен полезен товар, включващ алгоритъм за генериране на домейни“, както и „твърдо кодирана команда и контрол“.
Изследователите на Talos заключиха, че злонамереният полезен товар е разпределен между излизането на версия 5.33 на 15 август 2017 г. и излизането на версия 5.34 на 12 септември 2017 г.
Изследователите смятат, че е вероятно „външен хакер да е компрометирал част“ от средата за разработка или изграждане на Piriform и да е използвал достъпа, за да вмъкне злонамерения софтуер в изграждането на CCleaner. Друг вариант, който изследователите смятат, е, че инсайдърът включва злонамерения код.
Потребителите на CCleaner, които искат да се уверят, че компрометираната версия все още не е в тяхната система, може да искат да я сканират VirusTotal или го сканирайте с ClamAV, тъй като това е единственият антивирусен софтуер, който открива заплахата в момента.
Можете да изтеглите безплатно ClamAV от този уебсайт.
Зловредният полезен товар създава ключа за регистрация HKLM SOFTWARE Piriform Agomo: и го използва за съхраняване на различна информация.
Piriform издаден изявление на 18 септември 2017 г. Според това твърдение нечувствителните данни може да са били предавани на сървър в Съединените американски щати.
Компромисът може да доведе до предаване на нечувствителни данни (име на компютър, IP адрес, списък на инсталиран софтуер, списък на активен софтуер, списък на мрежови адаптери) до трети компютърен сървър в САЩ. Нямаме индикации, че други сървъри са изпратени до сървъра.
Пол Юнг, вицепрезидентът на продуктите на компанията, публикувано техническа оценка на атаката и на блога на компанията.
Единственото предложение, което има Piriform, е да актуализира до най-новата версия.
Заключителни думи
Компрометираните версии на CCleaner и CCleaner Cloud се разпространяваха близо месец. С над 20 милиона изтегляния на месец и актуализациите, това е голям брой компютри, които са засегнати от това.