Achtung! CCleaner-Update verteilte Malware

Seit Jahren setzen viele Nutzer auf den CCleaner von Piriform. In vielen Jahren zu einem nützlichen Aufräum-Tool für Windows geworden. Die wurden mittlerweile vom Sicherheitsanbieter Avast gekauft. Doch dass man eine bekannte Sicherheitsfirma hinter sich hat, heißt heutzutage eben auch nicht mehr viel. Bei den Machern des CCleaners hat es richtig gerappelt und man verschickt derzeit eine Warnmeldung an Windows-Benutzer der 32-Bit-Version 5.33.6162 des CCleaners, aber auch Nutzer der Cloud-Lösung CCleaner Cloud in Version 1.07.3191 sind betroffen.

Was ist passiert? Am 12. September habe man eine verdächtige Aktivität von einer unbekannten IP-Adresse festgestellt. Aufgrund weiterer Analysen stellte man fest, dass die die eben genannten Versionen des CCleaners vor ihrer Veröffentlichung modifiziert wurden. Quasi das gleiche Spiel wie damals bei Handbrake: Eindringlinge machen sich auf dem Server zu schaffen, modifizieren die Software und liefern diese als schadhaftes Update aus. Mittlerweile, so sagt man, habe man das Problem aber beheben können. Dies hilft aber nun nicht den Nutzern, die vorher zum Opfer wurden.

Die technische Beschreibung der Macher? Eine nicht autorisierte Änderung der CCleaner.exe-Binärdatei führte zu einer zweistufigen Backdoor, der Code, der von einer entfernten IP-Adresse empfangen wurde, auf den betroffenen Systemen ausführen kann.

Heißt: Ein befallener Rechner war, sofern die Backdoor nicht von einer Sicherheitslösung erkannt wurde, mal richtig offen. Die Macher des CCleaners umschreiben nur vage, ob die Rechner der Kunden nun wirklich sicher sind, für mich liest es nicht so. So habe man die betroffene CCleaner-Version bei den Nutzern aktualisiert – und auch die schädlichen Server seien nicht mehr erreichbar. Nicht geklärt ist aber offenbar, was die Angreifer noch im Hintergrund alles gemacht haben als erst einmal Zugriff auf die Rechner bestand. Sollte jemand noch eine alte Version des CCleaners nutzen, so empfehlen die Macher die Aktualisierung. Und solltet ihr eine Sicherheitssoftware nutzen – zumindest ist bei Windows eine an Bord – so lasst die mal lieber dennoch durchlaufen – auch wenn die Echtzeitüberwachung eigentlich hätte anschlagen sollen.