Μολυσμένη αναβάθμιση του CCleaner εισάγει malware backdoor σε υπολογιστές Windows

**nnn** · 18-09-17, 19:08

Ένα software update του γνωστού Windows utility CCleaner, που πλέον ανήκει στην Avast -πρόσφατα εξαγόρασε την εφαρμογή-, περιέχει malware που δίνει απομακρυσμένη πρόσβαση και έλεγχο στα μολυσμένα συστήματα. Η μολυσμένη αναβάθμιση φέρεται να έχει επίσημα υπογεγραμμένο πιστοποιητικό και διανεμήθηκε από τον update server της εφαρμογής.

Η εισαγωγή του malware στο CCleaner έγινε με παραβίαση της "εφοδιαστικής αλυσίδας" της Piriform. Με 2 δισεκατομμύρια downloads, η πιθανή επίπτωση είναι μεγάλη.

In a blog post this morning, Cisco Talos Intelligence's Edmund Brumaghin, Ross Gibb, Warren Mercer, Matthew Molyett, and Craig Williams reported that Talos had detected the malware during beta testing of a new exploit-detection technology. The malware was part of the signed installer for CCleaner v5.3 and included code that called back to a command-and-control server as well as a domain-generation algorithm intended to find a new C&C server if the hard-coded IP address of the primary server was lost. Copies of the malicious software installer were distributed to CCleaner users between August 15 and September 12, 2017, using a valid certificate issued to Piriform Ltd by Symantec.

Talos registered all of the domains associated with the algorithm, which had not been previously configured, to "black hole" the malware and prevent it from reestablishing communications in the future. The hard-coded IP address pointed to a server at the virtual dedicated hosting service ServerCrate, which was taken down after the malware was reported to Avast.

The malware checked to see if it was running with administrative privileges and shut down if it was not. It also went into a timed "sleep" mode if it did not get a response from a secure HTTP request to the primary C&C server. In cases where the samples found by Talos did successfully communicate with the C&C server, they would generate a system profile of the computer they had infected and post it back to the server. They would then retrieve shellcode from the server to execute locally and then clear the code from memory. It's not apparent what type of remote code may have been executed on infected systems.

Πατήστε στην εικόνα για να τη δείτε σε μεγέθυνση.

Όνομα: image3.png
Εμφανίσεις: 659
Μέγεθος: 380,4 KB
ID: 186213

Πηγή : Arstechnica

**nnn** · 18-09-17, 19:09

AVAST

Πατήστε στην εικόνα για να τη δείτε σε μεγέθυνση.

Όνομα: images.jpg
Εμφανίσεις: 663
Μέγεθος: 3,8 KB
ID: 186215

**Mirmidon** · 18-09-17, 19:12

lol

Πατήστε στην εικόνα για να τη δείτε σε μεγέθυνση.

Όνομα: 77c.jpg
Εμφανίσεις: 2
Μέγεθος: 39,7 KB
ID: 186216

**iml** · 18-09-17, 19:22

Με την εγγύηση της Avast?

**nnn** · 18-09-17, 19:26

1 μήνα ήταν μολυσμένος ο installer και δεν το είχαν πάρει χαμπάρι.

**goku** · 18-09-17, 19:27

Ωχ, χρησιμοποιώ χρόνια το CCleaner και το έχω μόνιμα εγκατεστημένο στον υπολογιστή μου. Υπάρχει τρόπος να βεβαιωθούμε αν έχουμε κολλήσει τίποτα; Τώρα έχω βάλει το Malwarebytes να κάνει ένα full scan.

**Mirmidon** · 18-09-17, 19:30

Αρχικό μήνυμα από goku

Ωχ, χρησιμοποιώ χρόνια το CCleaner και το έχω μόνιμα εγκατεστημένο στον υπολογιστή μου. Υπάρχει τρόπος να βεβαιωθούμε αν έχουμε κολλήσει τίποτα; Τώρα έχω βάλει το Malwarebytes να κάνει ένα full scan.

Μέχρι στιγμής δοκίμασε αυτό https://www.clamav.net/

Επίσης έλεγξε την registry αν υπάρχει το : HKLM\SOFTWARE\Piriform\Agomo

Αν ναι μάλλον είσε μολυσμένος.

**tsigarid** · 18-09-17, 19:36

Εύγε τα παιδιά.

**goku** · 18-09-17, 19:45

Αρχικό μήνυμα από Mirmidon

Μέχρι στιγμής δοκίμασε αυτό https://www.clamav.net/

Επίσης έλεγξε την registry αν υπάρχει το : HKLM\SOFTWARE\Piriform\Agomo

Αν ναι μάλλον είσε μολυσμένος.

Δεν φαίνεται να το έχω το Agomo στην registry. Θα περιμένω να τελειώσει το Malwarebytes και θα εγκαταστήσω/τρέξω και το clamav.

**OnAl3rt** · 18-09-17, 19:46

Οι μολυσμένες ήταν οι CCleaner 5.33 και CCleaner Cloud 1.07.3191.

**~~stamka~~** · 18-09-17, 19:52

Αρχικό μήνυμα από goku

Ωχ, χρησιμοποιώ χρόνια το CCleaner και το έχω μόνιμα εγκατεστημένο στον υπολογιστή μου. Υπάρχει τρόπος να βεβαιωθούμε αν έχουμε κολλήσει τίποτα; Τώρα έχω βάλει το Malwarebytes να κάνει ένα full scan.

οι εκδοσεις Cleaner v5.33.6162 και CCleaner Cloud v1.07.3191 for 32-bit Windows users ηταν μολυσμένες

**goku** · 18-09-17, 20:07

Αρχικό μήνυμα από stamka

οι εκδοσεις Cleaner v5.33.6162 και CCleaner Cloud v1.07.3191 for 32-bit Windows users ηταν μολυσμένες

Δεν κοιτούσα ποτέ το νούμερο των εκδόσεων αλλά και να τα κοιτούσα αποκλείεται να θυμόμουν όλα αυτά τα νούμερα από κάθε έκδοση που βγαίνει. Δεν θυμάμαι αν είχα εγκαταστήσει τις συγκεκριμένες εκδόσεις. Αυτή την στιγμή εννοείται ότι έχω την τελευταία έκδοση, αλλά ποιο παλιά δεν θυμάμαι τι είχα εγκαταστήσει.

**~~aiolos.01~~** · 18-09-17, 20:11

Στο pc δεν το έχω αλλά το έχω στο κινητό. Ωραία ασφάλεια έχουν. Φεύγει άμεσα...

**DVader** · 18-09-17, 20:16

Δεν θα μπώ κουβέντα.....

**netlag** · 18-09-17, 20:22

Αρχικό μήνυμα από nnn

AVAST

ότι καλό υπάρχει, πάντα θα βρεθεί κάποιος να το καταστρέψει.

Θέμα: Μολυσμένη αναβάθμιση του CCleaner εισάγει malware backdoor σε υπολογιστές Windows

Παρόμοια Θέματα

Το Ευρωκοινοβούλιο προτείνει την υποχρέωση χρήσης end-to-end encryption και την απαγόρευση backdoors σε αυτήν

Αυτόματη αναβάθμιση του Chrome από τα 32bit στα 64bit στους συμβατούς υπολογιστές

Οι ανοικτές πόρτες δημιουργούν backdoor σε εκατομμύρια Android κινητά

Προβληματική αναβάθμιση του Webroot "αχρηστεύει" υπολογιστές με Windows λόγω false positive σε αρχεία συστήματος

Backdoor σε 80 μοντέλα δικτυακών καμερών της Sony

Tags για αυτό το Θέμα

Bookmarks

Bookmarks

Δικαιώματα - Επιλογές