ZARARLI DAVOLAR ORQALI CCLEANER UTILITINI YUQORIB CHIQISH HAQIDA TAFSILOTLAR E’LON QILINDI

ОПУБЛИКОВАНЫ ПОДРОБНОСТИ ЗАРАЖЕНИЯ УТИЛИТЫ CCLEANER ВРЕДОНОСНЫМ ПО

Avast Piriform xakerlik hujumining qisqacha xronologiyasini e’lon qildi.

O’tgan yili mashhur tizimni tozalash dasturi CCleaner katta hujumga uchradi, bu hujum davomida xakerlar Piriform serverlarini buzib kirishdi va yordamchi dasturning qonuniy versiyasini zararli dastur bilan almashtirishdi. Zararli dastur 2017-yil avgust va sentyabr oylari oralig’ida rasmiy veb-saytdan CCleaner dasturini yuklab olgan yoki yangilagan 2,3 milliondan ortiq foydalanuvchini yuqtirdi.

Keyinchalik ma’lum bo’lishicha, xakerlar CCleanerning rasmiy versiyasini orqa eshikli versiyasi bilan almashtirishdan deyarli besh oy oldin kompaniya tarmog’iga kirishga muvaffaq bo’lishgan. Bu haqda Avast vitse-prezidenti va bosh texnologiya direktori Ondrej Vlcek San-Fransiskoda bo’lib o’tgan RSA xavfsizlik konferensiyasida e’lon qildi.

Avast опубликовала подробности инцидента, подробно описав, как и когда неизвестные хакеры взломали сети компании Piriform, создавшей CCleaner и приобретенную Avast в июле 2017 года.

2017-yil 11-mart. Hujumchilar birinchi marta TeamViewer masofaviy dasturi yordamida Piriform tarmog’iga ulangan CCleaner dasturchilaridan birining ish stantsiyasiga kirish huquqiga ega bo’lishdi.

Kompaniyaning fikricha, hujumchilar TeamViewer akkauntiga kirish uchun avvalgi ma’lumotlar sizib chiqishi natijasida olingan ishlab chiquvchining hisob ma’lumotlaridan qayta foydalangan va uchinchi urinishda VBScript skriptidan foydalanib zararli dasturlarni o’rnatishga muvaffaq bo’lishgan.

2017-yil 12-mart. Virusli qurilmadan foydalanib, tajovuzkorlar xuddi shu tarmoqqa ulangan ikkinchi kompyuterga kirib, Windows RDP (Masofaviy ish stoli protokoli) orqali orqa eshik yaratdilar.

RDP kirishidan foydalanib, tajovuzkorlar ikkilik va zararli yuklamani (keyinchalik yirik texnologiya kompaniyalariga tegishli 40 ta kompyuterga yetkazilgan ikkinchi bosqich zararli dasturi) maqsadli kompyuter reestriga yuklab olishdi.

2017-yil 14-mart. Hujumchilar birinchi kompyuterni zararli dasturning birinchi versiyasi bilan yuqtirishdi.

2017-yil 4-aprel. Hujumchilar ShadowPad orqa eshigining maxsus versiyasini tuzdilar, bu ularga qo’shimcha zararli modullarni yuklab olish va ma’lumotlarni o’g’irlash imkonini berdi. Kompaniya vakillarining so’zlariga ko’ra, ushbu zararli yuklamani CCleaner hujumining uchinchi bosqichi deb hisoblash mumkin.

2017-yil 12-aprel: Bir necha kundan so’ng, tajovuzkorlar uchinchi bosqichli yuklamani Piriform tarmog’idagi to’rtta kompyuterga (mscoree.dll kutubxonasi sifatida) va CCleaner yig’ilishining versiyasini o’z ichiga olgan serverga (.NET kutubxonasi sifatida) o’rnatdilar.

2017-yil aprel oyining o’rtalaridan iyul oyigacha tajovuzkorlar CCleanerning zararli versiyasini ishlab chiqdilar va RDP orqali ma’lumotlar bazasini o’g’irlash va administrator imtiyozlarini avtorizatsiya qilish uchun allaqachon buzilgan tizimlarga keylogger o’rnatish orqali Piriform ichki tarmog’idagi boshqa kompyuterlarga kirishga harakat qilishdi.

2017-yil 18-iyul. Avast Piriformni sotib oldi.

2017-yil 2-avgust. Hujumchilar rasmiy veb-saytdagi CCleaner dasturining asl versiyasini bir necha million foydalanuvchilar tomonidan yuklab olingan o’z versiyasi bilan almashtirdilar.

2017-yil 13-sentabr. Cisco Talos tadqiqotchilari kompaniyaning rasmiy veb-sayti orqali bir oydan ko’proq vaqt davomida tarqatilgan dasturiy ta’minotning zararli versiyasini aniqladilar va bu haqda darhol Avastga xabar berishdi.

CCleanerning zararli versiyasida zararlangan kompyuterlardan ma’lumotlarni o’g’irlash uchun mo’ljallangan yashirin dastur mavjud edi.

Hodisa haqida xabardor qilinganidan keyin uch kun ichida Avast FQB bilan hamkorlikda hujumchilarning C&C serverini o’chirib qo’ydi, ammo bu vaqtga kelib CCleanerning zararli versiyasi allaqachon 2,27 million foydalanuvchi tomonidan yuklab olingan edi.

Bundan tashqari, tajovuzkorlar Google, Microsoft, Cisco, Intel, Samsung, Sony, HTC, Linksys, D-Link, Akamai va VMware kabi yirik xalqaro texnologiya kompaniyalariga tegishli 40 ta kompyuterga ikkinchi bosqichli foydali yuklamani o’rnatishga muvaffaq bo’lganliklari aniqlandi. Avast yuqorida sanab o’tilgan kompaniyalarning birortasidan qurilmalarga ShadowPad zararli dasturi yuklab olinganiga oid hech qanday dalilga ega emas.

«Tergovimiz shuni ko’rsatdiki, ShadowPad ilgari Janubiy Koreya va Rossiyada ishlatilgan, u yerda hujumchilar moliyaviy operatsiyalarni kuzatish uchun kompyuterlarni buzib kirishgan. Rossiya hujumida ishlatilgan eng qadimgi zararli bajariladigan fayl 2014-yilda yaratilgan. Ushbu ma’lumotlarga asoslanib, biz bunga mas’ul bo’lgan guruh ko’p yillar davomida foydalanuvchilarni josuslik qilgan bo’lishi mumkin degan xulosaga kelishimiz mumkin», deb ta’kidladi mutaxassislar.