Backdoor in CCleaner installeerde aanvullende malware

[Captain Kirk]

De backdoor die in de populaire tool CCleaner werd verborgen is toch gebruikt om systemen met aanvullende malware te infecteren, zo laat Cisco in een nieuwe analyse weten. Aanvallers wisten in juli Piriform te hacken, de ontwikkelaar van CCleaner, en konden zo de backdoor toevoegen.

Een maand lang werd deze besmette versie via de officiele downloadservers aangeboden voordat de backdoor werd ontdekt. De backdoor stuurt informatie over het systeem, zoals ip-adres, mac-adressen, computernaam, of het proces met adminrechten draait en geïnstalleerde software, naar een remote server en is in staat om code uit te voeren die door de server wordt teruggestuurd.

Na de ontdekking stelden Piriform en Avast, het anti-virusbedrijf dat CCleaner in juli overnam, dat de server van de aanvallers geen code naar de backdoor had gestuurd. Er zou dan ook geen aanvullende malware op systemen zijn geïnstalleerd en slachtoffers hoefden volgens beide bedrijven hun systeem niet opnieuw te installeren, zoals sommige securitybedrijven en experts adviseerden.

Op de server waar de backdoor mee communiceerde zijn echter bestanden gevonden waaruit blijkt dat dit niet het geval is. De server heeft naar zeker twintig slachtoffers aanvullende malware gestuurd. Het gaat om een andere backdoor die toegang tot het systeem geeft. De aanvallers hadden het vooral voorzien op techbedrijven, zoals HTC, Samsung, Sony, VMWare, Intel, Microsoft, Linksys, MSI, Epson, D-Link, Akamai, Google en Cisco zelf, zo blijkt uit een lijst met domeinen waar de aanvallers naar zochten. Volgens Cisco suggereert dit dat de aanvallers het op intellectueel eigendom hadden voorzien.

Welke bedrijven of organisaties door de aanvullende malware zijn getroffen laat Cisco niet weten. Wel wijst het bedrijf naar een opmerking van anti-virusbedrijf Kaspersky Lab dat de gebruikte backdoorcode overlap heeft met een groep aanvallers die Group 72, Aurora of Axiom wordt genoemd. De aanvallers hebben het vooral op organisaties in de VS, Japan, Taiwan en Zuid-Korea voorzien. Cisco herhaalt dan ook het advies dat alle getroffen gebruikers van CCleaner hun systeem opnieuw moeten installeren of naar een staat van voor 15 augustus moeten herstellen.

 

 

bron: security.nl