CCleaner kompromissade: kontrollera din dator bättre
- Kategori: Säkerhet
Piriform, tillverkare av den populära filrenare CCleaner, bekräftade måndag 18, 2017 att hackare lyckades attackera företagets datornätverk framgångsrikt.
Hackarna komprometterade två versioner av CCleaner i attacken som har använts av upp till 3% av företagets användarbas.
De berörda versionerna är CCleaner 5.33.6162 och CCleaner Cloud 1.07.3191. Enligt Piriform kompromitterades och distribuerades endast 32-bitarsversionerna av applikationerna med företagets egen infrastruktur.
Företaget ber användare att uppdatera sin version av programmet till den senaste tillgängliga versionen om det inte redan har gjorts. Den senaste versionen av CCleaner är version 5.34 i skrivande stund.
- CCleaner 5.33.6162 släpptes den 15 augusti 2017 och en uppdaterad icke-komprometterad version släpptes den 12 september 2017.
- CCleaner Cloud 1.07.3191 släpptes den 24 augusti 2017 och en icke-kompromitterad version av programmet den 15 september 2017.
Säkerhetsforskare för Ciscos Talos Group avslöjade detaljer om den framgångsrika försörjningskedjan. Talos Group informerade Avast, moderbolaget till Piriform, om situationen.
Talos Group 'identifierade en specifik körbar' under tester av företagets nya exploitdetekteringsverktyg som kom från installationsprogrammet CCleaner 5.33 som i sin tur levererades av legitima CCleaner-nedladdningsservrar.
Den körbara nedladdningen undertecknades med en giltig Piriform-signatur. Installationsprogrammet innehöll en 'skadlig nyttolast som innehöll en domängenerationsalgoritm' samt 'hårdkodad kommando och kontroll' -funktion.
Talos-forskarna drog slutsatsen att den skadliga nyttolasten fördelades mellan utgivningen av version 5.33 den 15 augusti 2017 och utgivningen av version 5.34 den 12 september 2017.
Forskarna tror att det är troligt att 'en extern angripare komprometterade en del' av Piriforms utvecklings- eller byggmiljö och använde tillgången för att införa skadlig programvara i CCleaner-byggnaden. Ett annat alternativ som forskarna överväger är att en insider inkluderade den skadliga koden.
CCleaner-användare som vill se till att den komprometterade versionen inte fortfarande finns på deras system kanske vill skanna den på Virustotal , eller skanna det med ClamAV, eftersom det är det enda antivirusprogrammet som upptäcker hotet just nu.
Du kan ladda ner gratis ClamAV från denna webbplats.
Den skadliga nyttolasten skapar registernyckeln HKLM SOFTWARE Piriform Agomo: och använde den för att lagra olika information.
Piriform utfärdad ett uttalande den 18 september 2017. Enligt det uttalandet kan okänslig information ha överförts till en server i Amerikas förenta stater.
Kompromissen kan orsaka överföring av icke-känslig data (datornamn, IP-adress, lista över installerad programvara, lista över aktiv programvara, lista över nätverksadaptrar) till en tredjeparts datorserver i USA. Vi har inga indikationer på att någon annan data har skickats till servern.
Paul Yung, företagets VD för produkter, publicerat en teknisk bedömning av attacken på företagets blogg också.
Det enda förslaget som Piriform har är att uppdatera till den senaste versionen.
Stängande ord
De komprometterade versionerna av CCleaner och CCleaner Cloud distribuerades i nästan en månad. Med över 20 miljoner nedladdningar per månad och uppdateringarna är det ett stort antal datorer som har påverkats av detta.