De aanvallers die een backdoor aan twee versies van het populaire programma CCleaner toevoegden hadden ontwikkelaar Piriform al sinds april gehackt, zo heeft anti-virusbedrijf Avast tijdens de Virus Bulletin-conferentie in Madrid laten weten. In eerste instantie werd nog over begin juli gesproken.

Volgens Avast kregen de aanvallers in april op een nog altijd onbekende wijze toegang tot de buildservers van Piriform. In juli werd vervolgens een zelf-gesigneerd certificaat gebruikt om de eerste fase van de aanval te signeren. Pas een maand later op 2 augustus verscheen de eerste buildversie van CCleaner met de backdoor, gevolgd door de gebackdoorde versie van CCleaner Cloud op 11 augustus. Het ging om CCleaner versie 5.33.6162 en CCleaner Cloud versie 1.07.3191 voor 32-bit Windows die van 15 augustus tot 12 september via de officiële downloadservers werden aangeboden. Opmerkelijk is dat er op 25 augustus versies van CCleaner in de maak waren waar de aanvallers de backdoor niet aan hadden toegevoegd.

Verder liet Avast vandaag weten dat de 'payload' van CCleaner verschilde van die in CCleaner Cloud. Zo werd de malware in CCleaner 5.33 niet geactiveerd als de gebruiker geen beheerder was. Deze controle vond niet plaats in CCleaner Cloud en de backdoor in deze versie maakte altijd verbinding met de ip-adressen van de aanvallers voor de tweede fase van de aanval. Daarbij keken de aanvallers of er aanvullende malware op het systeem moest worden geïnstalleerd. Uiteindelijk ontvingen 40 computers deze aanvullende malware. Het ging om systemen van grote techbedrijven zoals Intel, Samsung, Sony, Asus, NEC en de Zuid-Koreaanse telecomaanbieder Chunghwa Telecom.

Volgens Avast-onderzoeker Jiri Bracek laat het incident het risico zien van het whitelisten van gesigneerde programma's zoals CCleaner, met name in het geval van een 'supply chain' aanval waarbij de leverancier is gehackt. Daarnaast stelde Bracek dat een veilige infrastructuur voor het ontwikkelen van software een topprioriteit moet zijn, zo meldt Threatpost. Na ontdekking van de gebackdoorde versies kwam Avast, dat in juli eigenaar van CCleaner werd, met een update. Die update is door 10 miljoen CCleaner-gebruikers geïnstalleerd, laat journalist Joseph Cox weten.