De aanvallers die softwarebedrijf Piriform hackten en een backdoor aan de populaire tool CCleaner toevoegden hebben wegens ruimtegebrek op de command en controleserver allerlei logbestanden gewist, waardoor de volledige omvang van de aanval niet zichtbaar is.

Dat meldt anti-virusbedrijf Avast, dat eigenaar van CCleaner is, in een nieuwe technische analyse van het incident. Gisteren maakten Cisco en Avast bekend dat de aanval tegen grote tech- en internetbedrijven was gericht. Dit bleek uit logbestanden op de server waarmee de backdoor in CCleaner communiceerde. De logbestanden bevatten slechts data van vier dagen, terwijl de besmette versie van CCleaner een maand lang werd aangeboden.

Uit onderzoek van de server blijkt dat die op 31 juli werd geïnstalleerd en op 11 augustus met het verzamelen van data begon. De database op de server bevatte geen data van voor 12 september. Onderzoekers van Avast dachten dan ook dat iemand de logbestanden had verwijderd om geen sporen achter te laten. Uit een ander logbestand blijkt echter dat de database, die data van de backdoor opsloeg, niet voldoende schijfruimte had.

De aanvallers besloten dan ook logbestanden te verwijderen om zo ruimte vrij te maken. De logbestanden laten ook zien dat de database tijdens deze periode gecorrumpeerd was geraakt en de aanvallers besloten om die opnieuw te installeren. "Het is jammer dat de server zo'n low-end machine was met beperkte schijfcapaciteit. Als dit namelijk niet het geval was geweest, hadden we waarschijnlijk een veel duidelijker beeld van wie er door de aanval is getroffen, aangezien dan de hele database sinds de initiële startdatum intact zou zijn geweest", aldus de onderzoekers van Avast.

Doelwit

Gisteren werden al verschillende bedrijven genoemd die het doelwit van de aanvallers waren. Vier domeinen van twee bedrijven zijn echter nog niet openbaar gemaakt, aldus de onderzoekers. Deze domeinen waren in de scripts inactief gemaakt, wat erop kan duiden dat de lijst met aangevallen bedrijven in de loop van de tijd veranderde. Dit wordt verder ondersteund door het feit dat sommige van de 20 computers die aanvullende malware ontvingen zich in domeinen bevonden die niet in de originele lijst waren opgenomen.

Ook lijkt het erop dat de aanvallers een fout hebben gemaakt met de domeinnaam van één bedrijf. Het domein eindigt op .sk, maar volgens de onderzoekers hadden de aanvallers het waarschijnlijk op gebruikers in het Zuid-Koreaanse hoofdkantoor voorzien. Het .sk-domein is echter van de Slowaakse tak van het bedrijf. Wie er achter de aanvallen zit kunnen de onderzoekers niet zeggen. "Het is op dit moment onmogelijk om te zeggen vanuit welk land de aanval kwam, omdat alle datapunten eenvoudig te vervalsen zijn om de werkelijke locatie van de aanvallers te verbergen."