Eine der gefährlichsten und effektivsten Taktiken in jeder Infektionskampagne ist es, wenn ein Angreifer es schafft, die Lieferkette eines Produkts zu kompromittieren und seine Malware als Teil eines legitimen Updates auszugeben. Genau das ist mit CCleaner passiert, der beliebten Wartungssoftware, die jetzt zu Avast gehört. Die Backdoor wurde in den 32-Bit-Builds von CCleaner und in einer bestimmten Version von CCleaner Cloud entdeckt. Die gute Nachricht ist, dass (anscheinend) kein Schaden angerichtet wurde, aber es wird empfohlen, Vorsichtsmaßnahmen zu treffen.
Es ist nicht das erste Mal, dass dies geschieht, und ich fürchte, es wird nicht das letzte Mal sein. Das Infiltrieren des Update-Mechanismus in jedem Programm kann zu einer Masseninfektion führen, die Hunderte Millionen von Nutzern weltweit betrifft. Eines der deutlichsten Beispiele wurde Ende Juni sichtbar, als eine Variante der Ransomware Petya die Updates einer Buchhaltungssoftware in der Ukraine als Verteilungsweg nutzte. Heute haben wir es jedoch mit einer Infektion zu tun, deren potenzieller Schaden viel größer hätte sein können. Das Opfer war CCleaner, das klassische Wartungsprogramm von Piriform, das jetzt unter den Fittichen von Avast ist.
Die Experten von Morphisec und der Talos Group von Cisco identifizierten eine integrierte Backdoor in den Installern von CCleaner 5.33.6162 (32-Bit) und CCleaner Cloud 1.07.3191 mit Hilfe einer neuen Erkennungstechnologie. Die Installations-Builds und die ausführbaren Dateien trugen legitime digitale Zertifikate von Symantec, deren Gültigkeit bis zum 10. Oktober 2018 reichte. Das Paket besteht aus Funktionen für Command & Control und einem Domain-Generierungsalgorithmus. Die Verteilung der infizierten Software erfolgte zwischen dem 15. August und dem 12. September, dem Datum, an dem Piriform CCleaner 5.34 veröffentlichte. Die Schlussfolgerung der Talos Group ist, dass ein externer Agent einen Teil der Entwicklungsumgebung von CCleaner kompromittiert hat oder dass es jemand innerhalb der Organisation war.
Handlungsanleitung für betroffene Nutzer
Was sollten Sie als Nutzer jetzt tun? Die Empfehlung lautet, einen SHA256-Hash des Haupt-EXE und des zuletzt heruntergeladenen Installers zu erstellen und die Ergebnisse mit diesen drei Zeichenfolgen zu vergleichen:
- 6f7840c77f99049d788155c1351e1560b62b8ad18ad0e9adda8218b9f432f0a9
- 1a4a5123d7b2c534cb3e3168f7032cf9ebf38b9a2a97226d0fdb7933cf6030ff
- 36b36ee9515e0a60629d2c722b006b33e543dce1c8c2611053e0651a0bfdb2e9
Wenn das Ergebnis positiv ist, enthält diese ausführbare Datei die Malware. Öffnen Sie als Nächstes den Registrierungseditor, gehen Sie zu „HKEY_LOCAL_MACHINE\Software\Piriform“ und überprüfen Sie, ob ein Eintrag mit der Bezeichnung „Agomo“ vorhanden ist. Wenn dies der Fall ist, ist die Malware bereits auf dem System.
Die letzte Phase besteht darin, CCleaner so schnell wie möglich auf Version 5.34 zu aktualisieren (auch wenn Sie nicht die 32-Bit-Version nutzen, da der Installer beide enthält) und einen vollständigen Systemscan mit einem aktuellen Antiviren- oder Antimalware-Programm durchzuführen. Malwarebytes hat berichtet, dass sein Programm die Infektion bereits erkennt, die ausführbaren Dateien unter Quarantäne stellt und die Kommunikation mit dem Remoteserver blockiert. Die Empfehlung von Talos ist extremer: Sie schlagen vor, das System auf einen Zustand vor dem 15. August zurückzusetzen oder Windows neu zu installieren. Auf der anderen Seite sagt Piriform, dass es ausreicht, CCleaner zu aktualisieren, und dass nur 2,27 Millionen Nutzer betroffen waren.
Wir lassen unsere Radare eingeschaltet und werden über Neuigkeiten berichten.
