Una delle tattiche più pericolose ed efficaci in qualsiasi campagna di infezione è quando un attaccante riesce a intervenire sulla catena di distribuzione di un prodotto e far passare il proprio malware come parte di un aggiornamento legittimo. È esattamente ciò che è accaduto con CCleaner, il popolare software di manutenzione che ora appartiene ad Avast. La backdoor è stata rilevata nelle build a 32 bit di CCleaner e in una versione specifica di CCleaner Cloud. La buona notizia è che (apparentemente) non ha causato danni, ma si consiglia di prendere precauzioni.
Non è la prima volta che accade, e temo che non sarà l'ultima. Infiltrare il meccanismo di aggiornamento di un programma può portare a un'infezione di massa che colpisce centinaia di milioni di utenti in tutto il mondo. Un esempio emblematico si è visto a fine giugno, quando una variante del ransomware Petya ha utilizzato come vettore di distribuzione gli aggiornamenti di un software di contabilità in Ucraina. Oggi, però, ci troviamo di fronte a un'infezione il cui potenziale distruttivo avrebbe potuto essere molto maggiore. La vittima è CCleaner, il classico programma di manutenzione sviluppato da Piriform e ora sotto l'ala di Avast.
Una backdoor firmata e funzionante
Gli esperti di Morphisec e del Talos Group di Cisco hanno identificato una backdoor integrata negli installer di CCleaner 5.33.6162 a 32 bit e di CCleaner Cloud 1.07.3191, grazie a una nuova tecnologia di rilevamento. Le build di installazione e gli eseguibili avevano ricevuto certificati digitali legittimi emessi da Symantec, la cui validità si estendeva fino al 10 ottobre 2018. Il pacchetto è composto da funzioni di comando e controllo e da un algoritmo di generazione dei domini. La distribuzione del software infetto è avvenuta tra il 15 agosto e il 12 settembre, data in cui Piriform ha pubblicato CCleaner 5.34. La conclusione del Talos Group è che un agente esterno sia riuscito a compromettere una parte dell'ambiente di sviluppo di CCleaner, oppure che si tratti di qualcuno all'interno dell'organizzazione.
Come verificare il proprio sistema
Cosa deve fare l'utente a questo punto? La raccomandazione è generare un hash SHA256 dell'exe principale e dell'ultimo installer scaricato, confrontando i risultati con queste tre stringhe:
6f7840c77f99049d788155c1351e1560b62b8ad18ad0e9adda8218b9f432f0a9
1a4a5123d7b2c534cb3e3168f7032cf9ebf38b9a2a97226d0fdb7933cf6030ff
36b36ee9515e0a60629d2c722b006b33e543dce1c8c2611053e0651a0bfdb2e9
Se il risultato è positivo, l'eseguibile contiene il malware. Il passo successivo è aprire l'Editor del Registro, visitare il percorso «HKEY_LOCAL_MACHINE\Software\Piriform» e verificare la presenza di una voce con la scritta «Agomo». Se compare, il malware è già nel sistema.
Aggiornare e scansionare
La fase finale è aggiornare CCleaner alla versione 5.34 il prima possibile (anche se non usiamo la build a 32 bit, perché l'installer contiene entrambe) ed eseguire una scansione completa del computer con un antivirus o antimalware aggiornato. aggiornare CCleaner alla versione 5.34 il prima possibile (anche se non usiamo la build a 32 bit, perché l'installer contiene entrambe) ed eseguire una scansione completa del computer con un antivirus o antimalware aggiornato. Il team di Malwarebytes ha riferito che il suo programma rileva già l'infezione, mette gli eseguibili in quarantena e blocca la comunicazione con il server remoto. La proposta del Talos Group è più estrema: ripristinare il sistema a uno stato precedente al 15 agosto o reinstallare Windows. Dal canto suo, Piriform afferma che è sufficiente aggiornare CCleaner e che solo 2,27 milioni di utenti sono stati colpiti. Terremo i nostri radar accesi e segnaleremo qualsiasi novità.
Talos Group — Morphisec
