Wiadomo już kto był celem ataku na użytkowników CCleanera

dodał 21 września 2017 o 06:37 w kategorii Włamania  z tagami: • • •
Wiadomo już kto był celem ataku na użytkowników CCleanera

Badacze analizujący opisywany niedawno atak polegający na dodaniu złośliwego kodu do popularnej aplikacji CCleaner ustalili listę firm, które były celem atakujących. Trzeba przyznać, że jest całkiem ciekawa.

Gdy kilka dni temu pojawiły się pierwsze informacje o ataku, na podstawie zachowania złośliwego kodu (jedynie zbierał informacje o zainfekowanym komputerze) pozwoliliśmy sobie na spekulacje, że jedynie wybrane ofiary będą otrzymywać właściwe złośliwe oprogramowanie. Avast w swoich komunikatach uspokajał, że nie obserwował żadnej infekcji – ale okazuje się, że jednak to my mieliśmy rację.

Lista ofiar

Badacze z firmy Talos, którzy jako pierwsi publicznie opisali atak, opublikowali drugi odcinek jego analizy, tym razem oparty na plikach, które znajdowały się na serwerze sterującym przebiegiem infekcji. Okazało się, że podobnie jak w przypadku ataku na polskie banki jedynie wybrane ofiary były infekowane docelowym złośliwym oprogramowaniem. Niestety poznano jedynie stan listy ofiar na 12 września – wcześniej mogła wyglądać zupełnie inaczej. Celem ataku były komputery w następujących domenach:

Trzeba przyznać, że atakujący mieli ciekawe ambicje. HTC, Samsung, Sony, Intel, Cisco, Microsoft, MSI czy Google to bez wątpienia bardzo cenne cele na liście np. szpiegów przemysłowych. Według Talosa rejestry przejętego serwera wskazywały, że między 12 a 16 września do przestępców zgłosiło się 700 tysięcy (!!!) zainfekowanych maszyn, a drugi etap złośliwego oprogramowania otrzymało jedynie nieco ponad 20. To pokazuje, jak bardzo skoncentrowani na swoich prawdziwych celach byli włamywacze. Niewkluczone, że wcześniejsze ataki wymierzone były w inne firmy lub instytucje – w bazie zawierającej łącznie 862 tysiące potencjalnych ofiar znaleziono między innymi ślady 540 maszyn w domenach GOV i 51 maszyn w domenach zawierających słowo „bank”.

Kto za tym stoi

Badacze z firmy Kaspersky znaleźli podobieństwa w kodzie źródłowym użytych narzędzi do obserwowanej wcześniej grupy APT, opisywanej przez Talosa jako „Grupa 72„, prawdopodobnie pochodzącej z Chin. Ta teoria jest interesująca i pasuje do całej układanki. Talent napastników i ich spore umiejętności wskazują, że za atakiem stali zawodowcy, którzy odnieśli z niego ogromne korzyści. Biorąc pod uwagę potwierdzony fakt istnienia drugiego stadium ataku nadal zalecamy reinstalację całego systemu operacyjnego wszystkim, którzy uważają się za możliwe cele ataku chińskich szpiegów i korzystali z CCleanera w wersji 5.33. Tak przy okazji pytanie do osób, które chwaliły się, że mają np. CCleanera 5.30 i w związku z tym były bezpieczne – a co jeśli przestępcy po skończonym zadaniu instalowali Wam starszą wersję? :)

Zaproszenie
Administratorów serwerów CCleanera (i nie tylko!) zapraszamy na nasz webinar o błędach w konfiguracji serwerów – już w poniedziałek i wtorek!

Podobne wpisy