Uma das táticas mais perigosas e eficazes em qualquer campanha de infecção é quando um atacante consegue intervir na cadeia de distribuição de um produto e fazer passar seu malware como parte de uma atualização legítima. Isso é exatamente o que aconteceu com o CCleaner, popular software de manutenção que agora pertence à Avast. O backdoor foi detectado nas versões de 32 bits do CCleaner e em uma versão específica do CCleaner Cloud. A boa notícia é que (aparentemente) não chegou a causar danos, mas recomenda-se tomar precauções.
Não é a primeira vez que isso acontece, e temo que não será a última. Infiltrar o mecanismo de atualizações em qualquer programa pode dar origem a uma infecção em massa que afete centenas de milhões de usuários no mundo todo. Um dos exemplos mais contundentes foi visto no final de junho, quando uma variante do ransomware Petya usou como via de distribuição as atualizações de um software de contabilidade na Ucrânia. Hoje, no entanto, nos deparamos com uma infecção cujo potencial destrutivo poderia ter sido muito maior. A vítima foi o CCleaner, clássico programa de manutenção desenvolvido pela Piriform e agora sob a ala da Avast.
A descoberta do backdoor
Os especialistas da Morphisec e do Talos Group da Cisco identificaram um backdoor integrado nos instaladores do CCleaner 5.33.6162 de 32 bits e do CCleaner Cloud 1.07.3191 com a ajuda de uma nova tecnologia de detecção. Os builds de instalação e os executáveis haviam recebido certificados digitais legítimos emitidos pela Symantec, cuja validade se estendia até 10 de outubro de 2018. O pacote é composto por funções de comando e controle e um algoritmo de geração de domínios. A distribuição do software infectado ocorreu entre 15 de agosto e 12 de setembro, data em que a Piriform publicou o CCleaner 5.34. A conclusão do Talos Group é que um agente externo conseguiu comprometer parte do ambiente de desenvolvimento do CCleaner ou, por outro lado, que foi alguém dentro da organização.
Como se proteger
A recomendação é gerar um hash SHA256 do executável principal e do último instalador baixado, comparando os resultados com estas três cadeias:
- 6f7840c77f99049d788155c1351e1560b62b8ad18ad0e9adda8218b9f432f0a9
- 1a4a5123d7b2c534cb3e3168f7032cf9ebf38b9a2a97226d0fdb7933cf6030ff
- 36b36ee9515e0a60629d2c722b006b33e543dce1c8c2611053e0651a0bfdb2e9
Se o resultado for positivo, então esse executável contém o malware. O próximo passo é abrir o Editor do Registro, visitar o caminho «HKEY_LOCAL_MACHINE\Software\Piriform» e verificar a presença de alguma entrada com o nome «Agomo». Se aparecer lá, o malware já está no sistema.
A última fase é atualizar o CCleaner para a versão 5.34 o quanto antes (mesmo que não usemos o build de 32 bits, porque o instalador inclui ambos) e fazer uma varredura completa do computador com um antivírus ou antimalware atualizado.
A equipe da Malwarebytes informou que seu programa já detecta a infecção, coloca os executáveis em quarentena e bloqueia a comunicação com o servidor remoto. A sugestão do Talos é mais extrema: reverter o sistema para um estado anterior a 15 de agosto ou reinstalar o Windows. Por outro lado, na Piriform dizem que basta atualizar o CCleaner e que apenas 2,27 milhões de usuários foram afetados. Vamos deixar nossos radares ligados e reportaremos qualquer novidade.
