Avertissement: CCleaner piraté pour distribuer des logiciels malveillants, Plus de 2,3 millions d'utilisateurs infectés

18 Septembre 2017 , Rédigé par nicko Publié dans #informatique

Si vous avez téléchargé ou mis à jour l'application CCleaner sur votre ordinateur entre le 15 août et le 12 septembre de cette année à partir de son site officiel, faites attention, votre ordinateur a été compromis.

Avertissement: CCleaner piraté pour distribuer des logiciels malveillants, Plus de 2,3 millions d'utilisateurs infectés

CCleaner est une application populaire avec plus de 2 milliards de téléchargements, créée par Piriform et récemment acquise par Avast, qui permet aux utilisateurs de nettoyer leur système pour optimiser et améliorer les performances.

Les chercheurs en sécurité de Cisco Talos ont découvert que les serveurs de téléchargement utilisés par Avast pour permettre aux utilisateurs de télécharger l'application ont été compromis par certains pirates inconnus, qui ont remplacé la version originale du logiciel par le malveillant et l'ont distribué à des millions d'utilisateurs pendant environ un mois.

Cet incident est encore un autre exemple d'attaque en chaîne d'approvisionnement. Plus tôt cette année, les serveurs de mise à jour d'une société ukrainienne appelée MeDoc ont également été compromis de la même manière pour distribuer le ransomware Petya , qui a causé des ravages dans le monde entier.

Avast et Piriform ont confirmé que la version 32 bits de CCleaner v5.33.6162 et CCleaner Cloud v1.07.3191 avait été affectée par le logiciel malveillant.

Détecté le 13 septembre, la version malveillante de CCleaner contient une charge utile de logiciels malveillants en plusieurs étapes qui dérobe les données des ordinateurs infectés et l'envoie aux serveurs de commande et de contrôle à distance de l'attaquant.

En outre, les pirates inconnus ont signé l'exécutable d'installation malveillant (v5.33) en utilisant une signature numérique valide délivrée à Piriform par Symantec et utilisée comme algorithme de génération de domaine (DGA), de sorte que, si le serveur des attaquants est descendu, la DGA pourrait générer de nouveaux domaines pour recevoir et envoyer des informations volées.

"Toutes les informations collectées ont été chiffrées et encodées par base64 avec un alphabet personnalisé", explique Paul Yung, vice-président des produits chez Piriform. "Les informations codées ont ensuite été soumises à une adresse IP externe 216.126.xx (cette adresse a été codée en dur dans la charge utile, et nous avons masqué intentionnellement ses deux derniers octets ici) via une requête HTTPS ".

Le logiciel malveillant a été programmé pour collecter un grand nombre de données utilisateur, notamment:

    Nom de l'ordinateur
    Liste des logiciels installés, y compris les mises à jour Windows
    Liste de tous les processus en cours d'exécution
    Adresse IP et MAC
    Des informations supplémentaires comme si le processus est en cours d'exécution avec
   des privilèges d'administrateur et de déterminer s'il s'agit d'un système à 64 bits.

Comment supprimer les logiciels malveillants de votre PC

Selon les chercheurs de Talos, environ 5 millions de personnes téléchargent CCleaner (ou Crap Cleaner) chaque semaine, ce qui indique que plus de 20 millions de personnes auraient pu être infectées par la version malveillante de l'application.

"L'impact de cette attaque pourrait être sévère compte tenu du nombre extrêmement élevé de systèmes éventuellement affectés. CCleaner prétend avoir plus de 2 milliards de téléchargements dans le monde entier en novembre 2016 et devrait ajouter de nouveaux utilisateurs à raison de 5 millions par semaine", a déclaré Talos. .

Cependant, Piriform a estimé que jusqu'à 3% de ses utilisateurs (jusqu'à 2,27 millions de personnes) ont été affectés par l'installation malveillante.

Les utilisateurs concernés sont fortement recommandés pour mettre à jour leur logiciel CCleaner vers la version 5.34 ou supérieure afin de protéger leurs ordinateurs contre toute atteinte. La dernière version est disponible pour téléchargement ici .