Ontwikkelomgeving CCleaner mogelijk al sinds 3 juli gehackt
De ontwikkelomgeving van de het populaire programma CCleaner was mogelijk al sinds 3 juli gehackt, zo laat Avast weten, het anti-virusbedrijf dat de tool en ontwikkelaar Piriform op 18 juli overnam. Gisteren maakte Piriform bekend dat aanvallers een backdoor aan CCleaner hadden toegevoegd.
Het ging om CCleaner versie 5.33.6162 en CCleaner Cloud versie 1.07.3191 voor 32-bit Windows die van 15 augustus tot 12 september via de officiële downloadservers werden aangeboden en over een geldig certificaat beschikten. De backdoor stuurt informatie over het systeem, zoals ip-adres, mac-adressen, computernaam, of het proces met adminrechten draait en geïnstalleerde software, naar een remote server en is in staat om code uit te voeren die door de server wordt teruggestuurd.
De besmette versies van CCleaner werden in de vier weken dat ze werden aangeboden door 2,27 miljoen gebruikers gedownload. Inmiddels zijn er nog 730.000 gebruikers met een besmette versie van CCleaner. Volgens Avast moeten deze gebruikers naar de nieuwste versie upgraden, maar lopen ze geen risico aangezien de server waarmee de backdoor communiceerde uit de lucht is gehaald. Cisco adviseerde getroffen gebruikers om hun systeem opnieuw te installeren of te herstellen naar een staat van voor 15 augustus, maar dat is niet nodig, aldus Avast. De backdoor-server werd namelijk uitgeschakeld voordat die kwaadaardige code naar besmette systemen kon terugsturen.
Inmiddels is de ontwikkelomgeving van Piriform naar de infrastructuur van Avast gemigreerd en zullen alle Piriform-medewerkers naar het interne it-systeem van Avast worden verhuisd. Hoe de aanvallers toegang tot de ontwikkelomgeving van CCleaner wisten te krijgen is nog niet bekendgemaakt. CCleaner is een zeer populaire tool die cookies, tijdelijke bestanden, surfgeschiedenis, logbestanden, applicatiedata en andere bestanden kan verwijderen. Het is in totaal meer dan 2 miljard keer gedownload en heeft wereldwijd 130 miljoen gebruikers.
"The malware injected into #CCleaner has shared code with several tools used by one of the APT groups from the #Axiom APT 'umbrella'."
HKLM\SOFTWARE\Piriform\Agomo:TCID
Ook na een eventuele regkey naar versie 5.34 blijft deze regkey bestaan.
Indien de regkey aanwezig is:
- installeer je computer helemaal opnieuw;
- verander al je wachtwoorden (ook al je online accounts)
- wanneer je een PW manager gebruikt: verander het master wachtwoord
Niemand kan aangeven wat de impact is geweest, welke info er is gestolen, en welke eventuele andere programma's er zijn geinstalleerd.
Er is niets bekend dus ga uit van het ergste.
HKLM\SOFTWARE\Piriform\Agomo:TCID
Ook na een eventuele regkey naar versie 5.34 blijft deze regkey bestaan.
Indien de regkey aanwezig is:
- installeer je computer helemaal opnieuw;
- verander al je wachtwoorden (ook al je online accounts)
- wanneer je een PW manager gebruikt: verander het master wachtwoord
Niemand kan aangeven wat de impact is geweest, welke info er is gestolen, en welke eventuele andere programma's er zijn geinstalleerd.
Er is niets bekend dus ga uit van het ergste.
Goed advies, bestaat niet bij mij (W7 64bit)
De hack was er al voordat avast CCleaner verwierf en Piriform hun team kwam "versterken".
Ja een klein bedrijfje als dat van Priforms is natuurlijk moeilijk rondom te beveiligen. Mijn vraag is:
"Is er eigenlijk in 'Murica' nog iets afdoende finaal te beveiligen?". Ik zet met alle inspanningen van NSA en gelijkgestemden daar een heel groot vraagteken bij, maar de situatie aan deze kant van de visvijver is natuurlijk niet erg rooskleuriger.
Ze hebben naar hun zeggen al die tijd de vinger aan de pols gehouden en een tweede uitbraak gevreesd, die niet kwam.
Volgens hen zullen ze zorgen dat het niet weer gebeurt, maar dat zeiden ze bij hun forum hack destijds ook.
Achteraf kijk je altijd een koe in de k*nt - makkelijk zat.
Net alsof Avast zelf geen onnodige data verzameld van gebruikers met hun software.
"Geen risico", zegt AVAST... Maar... wie zegt dat de gegevens niet allang zijn doorgestuurd. Eea heeft meer als een maand gedraaid voordat het ontdekt werd.
Wie garandeert dat er niet al code is verstuurd om een reeds verstuurde payload weer te verwijderen, ed.
AVAST zegt, maar weet eigenlijk niets. Een security bedrijf dat een ander bedrijf koopt en geen audit op de code, netwerken e.d. doet van het bedrijf dat gekocht is, dat zegt eigenlijk genoeg.
Er zal dus wel veel meer lekken bij AVAST!
HKLM\SOFTWARE\Piriform\Agomo:TCID
Ook na een eventuele regkey naar versie 5.34 blijft deze regkey bestaan.
Indien de regkey aanwezig is:
- installeer je computer helemaal opnieuw;
- verander al je wachtwoorden (ook al je online accounts)
- wanneer je een PW manager gebruikt: verander het master wachtwoord
Niemand kan aangeven wat de impact is geweest, welke info er is gestolen, en welke eventuele andere programma's er zijn geinstalleerd.
Er is niets bekend dus ga uit van het ergste.
Het spijt me dat ik het moet zeggen maar vandaag op mijn vrijwilligerswerk had ik pas een pc geïnstalleerd die had de betreffende 5.33 ccleaner. Niet die Agoma key in het register, maar Avira sloeg wel meteen alarm daarstraks toen ik Avira liet updaten.
ook de downloads ervan de 5.33
mbam sloeg aan omdat het nog in de prullenbak stond
dus verwijderd
dit ingetikt bij start - progamma.s en bestanden zoeken
HKLM\SOFTWARE\Piriform\Agomo:TCID
vind niks gelukkig
mijn pc is 64 bits
wel die ccleaner paar keer gebruikt
vraag is dit voldoende ?
ccleaner gebruik ik liever niet meer
wat is het alternatief om voornamelijk ccokies weg te halen
ik gebruik wel al lang avast free
De hack was er al voordat avast CCleaner verwierf en Piriform hun team kwam "versterken".
Ja een klein bedrijfje als dat van Priforms is natuurlijk moeilijk rondom te beveiligen. Mijn vraag is:
"Is er eigenlijk in 'Murica' nog iets afdoende finaal te beveiligen?". Ik zet met alle inspanningen van NSA en gelijkgestemden daar een heel groot vraagteken bij, maar de situatie aan deze kant van de visvijver is natuurlijk niet erg rooskleuriger.
Ze hebben naar hun zeggen al die tijd de vinger aan de pols gehouden en een tweede uitbraak gevreesd, die niet kwam.
Volgens hen zullen ze zorgen dat het niet weer gebeurt, maar dat zeiden ze bij hun forum hack destijds ook.
Achteraf kijk je altijd een koe in de k*nt - makkelijk zat.
dit is wel een hele goede bijdrage
net de check gedaan en gelukkig niks in die registermappen
vraag me alleen af of ik na al die jaren Avast er ook maar af zal
gooien
is een vervanger eigenlijk wel nodig van ccleaner
bleachbit word hier al genoemd
ik deed alleen cookies en register door ccleaner
vaak na een nieuwe update vond die dingen
Voor dingen als browsers ed. ja, voor systeemsoftware eveneens, maar zo'n onderhoudsprogramma als CCleaner werkt in een oude versie net zo goed als in een nieuwe. Er zijn hoogstens wat opties bijgekomen of wat bugs verwijderd. Voor de veiligheid is het bij zo'n programma helemaal niet belangrijk om de nieuwste versie te hebben. Integendeel blijkt nu maar.
De bij mij geïnstalleerde versie bleek 5.02.5101 te zijn. En daar heb ik ook de installatiefile van bewaard. Die koester ik voorlopig maar even, nu CCleaner naar Avast over is gegaan.
http://blog.talosintelligence.com/2017/09/ccleaner-c2-concern.html
Avast geeft nu ook een ander advies:
https://blog.avast.com/progress-on-ccleaner-investigation
Mijn advies:
Heb je ooit versie 5.33 geinstalleerd: Installeer je computer opnieuw en wijzig al je wachtwoorden.
Daarnaast mijn persoonlijk advies: gebruik geen CCleaner of Avast meer.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
