Optimierungsprogramm: Ccleaner-Malware sollte wohl Techkonzerne ausspionieren

Cisco widerspricht Avast: Die zweite Stufe der mit Ccleaner verteilten Malware sei sehr wohl aktiviert worden. Angeblich sollen die Macher der Kampagne es auf Betriebsgeheimnisse großer Techfirmen abgesehen haben.

Artikel veröffentlicht am ,
Die mit Ccleaner verteilte Malware soll Tech-Unternehmen angegriffen haben.
Die mit Ccleaner verteilte Malware soll Tech-Unternehmen angegriffen haben. (Bild: Cisco)

Die mit dem kostenfreien Programm Ccleaner verteilte Malware hat nach Angaben von Ciscos Talos-Team auf einer Reihe von Rechnern die zweite Stufe aktiviert, um zusätzlichen Schaden anzurichten. Damit widerspricht Cisco der Darstellung von Avast. Das Unternehmen hatte geschrieben, dass kein weiterer Code nachgeladen wurde und sich dabei auf Telemetriedaten des eigenen Antivirusprogramms bezogen.

Stellenmarkt
  1. Test-Engineer (m/w/d) in der Medizintechnik
    Medtron AG, Saarbrücken
  2. Ingenieur (m/w/d) Prüftechnik 2D
    Eberhard AG Automations- und Montagetechnik, Schlierbach
Detailsuche

Angreifern war es gelungen, für rund einen Monat eine mit Malware infizierte Version von Ccleaner in Umlauf zu bringen. Diese war von Mitte August bis Mitte September abrufbar. Weil sie mit einem gültigen Zertifikat signiert wurde, hatten Anwender kaum eine Möglichkeit, die Fälschung festzustellen. Ccleaner kann einige Reparaturaufgaben auf einem Rechner durchführen - ob dieser davon wirklich profitiert, ist allerdings umstritten.

Cisco geht von gezielter Kampagne aus

Cisco schreibt auf Basis eigener Forschungen jetzt, dass man von einer "sehr gezielten" Kampagne ausgehe, die insbesondere große IT-Unternehmen im Visier habe. Eine vom Command-and-Control-Server abgelegte Datei enthalte die Domains zahlreicher großer Unternehmen, darunter Sony, VMware, Intel und Microsoft. Auch der deutsche Automatenhersteller Gauselmann scheint im Visier der Angreifer zu stehen, mit der Domain gg.gauselmann.com.

Die Malware sei demnach vermutlich darauf ausgelegt, wertvolle Betriebsgeheimnisse auszuspionieren. Auch Cisco selbst sei betroffen. Warum gerade Mitarbeiter in diesen Unternehmen eine Software wie Ccleaner verwenden sollen, ist allerdings nicht ganz klar. Nach Angaben von Cisco gibt es mindestens 20 "eindeutige Hosts", die mit der zweiten Stufe der Malware infiziert wurden. Diese 20 Rechner stehen nach Angaben von Avast in acht verschiedenen Unternehmen.

Golem Akademie
  1. Jira für Anwender: virtueller Ein-Tages-Workshop
    10. November 2021, virtuell
  2. ITIL 4® Foundation: virtueller Zwei-Tage-Workshop
    16.–17. Dezember 2021, virtuell
Weitere IT-Trainings

Die Malware soll vor allem einen dauerhaften Zugang zum System gewährleisten ('persistenz'). Sie ist in der Datei mit dem Namen GeeSetup_x86-dll enthalten. Es werden mehrere Dateien mit den Namen legitimer Programme abgelegt, etwa SymEFA, das Teil von Symantecs Endpoint-Protection ist. Außerdem würden verschiedene Verschleierungstechniken genutzt, um die Erkennung durch Virenscanner zu erschweren.

Die Malware weist nach Cisco-Angaben Zeitstempel aus der Zeitzone der Volksrepublik China auf. Das Unternehmen weist aber darauf hin, dass allein auf Basis dieser Informationen noch keine Attribution des Angriffs möglich sei.

Der Schadcode sucht nach zahlreichen Informationen über das System und sendet die Betriebssystemversion, Host- und Domainnamen sowie Nutzernamen an den C2-Server. Außerdem wird eine Liste aller aktiven Prozesse und installierter Programme übermittelt. Die aktuellste Version von Ccleaner hat die Schwachstellen entfernt. In Version 5.35 wurde zudem das zum Signieren der Malware genutzte Zertifikat zurückgezogen. Avast geht weiterhin davon aus, dass Privatnutzer nur die betroffene Version entfernen müssen. Bei Unternehmen sei möglicherweise eine andere Risikobewertung notwendig.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Feldversuch E-Mobility-Chaussee
So schnell bringen E-Autos das Stromnetz ans Limit

Das Laden von Elektroautos stellt Netzbetreiber auf dem Land vor besondere Herausforderungen. Ein Pilotprojekt hat verschiedene Lösungen getestet.
Ein Bericht von Friedhelm Greis

Feldversuch E-Mobility-Chaussee: So schnell bringen E-Autos das Stromnetz ans Limit
Artikel
  1. Encrochat-Hack: Damit würde man keinen Geschwindigkeitsverstoß verurteilen
    Encrochat-Hack
    "Damit würde man keinen Geschwindigkeitsverstoß verurteilen"

    Der Anwalt Johannes Eisenberg hat sich die Daten aus dem Encrochat-Hack genauer angesehen und viel Merkwürdiges entdeckt.
    Ein Interview von Moritz Tremmel

  2. Geforce Now (RTX 3080) im Test: 1440p120 mit Raytracing aus der Cloud
    Geforce Now (RTX 3080) im Test
    1440p120 mit Raytracing aus der Cloud

    Höhere Auflösung, mehr Bilder pro Sekunde, kürzere Latenzen: Geforce Now mit virtueller Geforce RTX 3080 ist Cloud-Gaming par excellence.
    Ein Test von Marc Sauter

  3. SpaceX: Starlink testet Satelliteninternet in Flugzeugen
    SpaceX
    Starlink testet Satelliteninternet in Flugzeugen

    Bald dürften mehrere Flugesellschaften Starlink-Service anbieten. Laut einem Manager soll es so schnell wie möglich gehen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Gaming-Monitore zu Bestpreisen (u. a. Samsung G9 49" 32:9 Curved QLED 240Hz 1.149€) • Spiele günstiger: PC, PS5, Xbox, Switch • Zurück in die Zukunft Trilogie 4K 31,97€ • be quiet 750W-PC-Netzteil 87,90€ • Cambridge Audio Melomonia Touch 89,95€ • Gaming-Stühle zu Bestpreisen [Werbung]
    •  /