Ziel CCleaner: Avast meldet Einbruch in internes Netzwerk

Hacker kompromittieren die VPN-Anmeldedaten eines Mitarbeiters. Dessen Konto ist zudem nicht mit einer Authentifizierung in zwei Schritten gesichert. Als Reaktion stattet Avast CCleaner mit einem neuen digitalen Zertifikat aus und widerruft alle ältere Zertifikate.

Der tschechische Sicherheitsanbieter Avast hat einen Einbruch in sein internes Netzwerk gemeldet. Die Hacker gelangten demnach über ein kompromittiertes VPN-Konto eines Mitarbeiters in das System. Das Unternehmen vermutet, dass es die Täter auf die Avast-Software CCleaner abgesehen hatten, um sie erneut mit Malware zu verseuchen.

CCleaner von Piriform (Bild: Piriform)Der Einbruch war möglich, weil das fragliche VPN-Konto nicht mit einer Authentifizierung in mehreren Schritten gesichert war. Der Vorfall an sich ereignete sich am 23. September. Bei seinen Untersuchungen stellte Avast schließlich fest, dass die Täter offenbar schon seit 14. Mai versucht hatten, in die Infrastruktur einzudringen.

„Der Benutzer, dessen Anmeldeinformationen anscheinend kompromittiert wurden, hatte keine Domänenadministrationsrechte. Durch eine erfolgreiche Privilegienerweiterung gelang es dem Akteur jedoch, Domain-Administrator-Rechte zu erhalten“, sagte Jaya Baloo, Chief Information Security Officer bei Avast. Die unerwartete Rechteausweitung habe die interne Untersuchung ausgelöst.

Dabei hätten Mitarbeiter weitere Sicherheitsmeldungen von Microsoft Advanced Threat Analytics entdeckt, einem Analysesystem von Microsoft, um interne Netzwerke vor schädlichen Angriffe von innen zu schützen. Diese Meldungen waren zuvor als False Positives eingestuft worden. Sie zeigten jedoch, dass das kompromittierte Nutzerkonto versucht hatte, Avasts Active-Directory-Dienst zu replizieren.

Die Aktivitäten der Angreifer überwachte Avast noch bis zum 15. Oktober. Bis dahin untersuchte das Unternehmen frühere Releases von CCleaner auf mögliche Manipulationen und veröffentlichte zudem ein sauberes Update.

Darüber hinaus änderte Avast das digitale Zertifikat für die Signierung von CCleaner-Updates. Die Gültigkeit früherer Zertifikate wurde zudem widerrufen, für den Fall, dass den Angreifern bei ihrem Einbruch alte Zertifikate in die Hände gefallen sind. Schließlich setzte Avast auch noch alle Anmeldedaten seiner Mitarbeiter zurück. „Nachdem wir alle Vorsichtsmaßnahmen ergriffen haben, sind wir zuversichtlich, dass unsere CCleaner-Nutzer geschützt und nicht betroffen sind“, ergänzte Baloo.

Inzwischen ermitteln auch tschechische Behörden in der Sache. Weitere Details nannte Avast auf Rückfrage von ZDNet USA mit Hinweis auf die Ermittlungen nicht. Das Unternehmen geht allerdings aufgrund der bisher gesammelten Daten davon aus, dass es sich nicht um die Täter handelt, denen es 2017 gelungen war, CCleaner mit einer Schadsoftware zu versuchen. Damals gehörte die Software allerdings noch zu Piriform – Avast machte den Angriff aber nach Übernahme des Tools öffentlich.

WEBINAR

Webinar-Aufzeichnung: HPE Server mit AMD EPYC 2 stellen 37 Rekorde auf

Das Webinar informiert Sie über die neuen auf AMD EPYC 2 basierenden HPE Server. Erfahren Sie mehr über die erheblichen Leistungs- und Kostenvorteile, die die neue Architektur in der Praxis bietet. Jetzt registrieren und Webinar-Aufzeichnung ansehen.

Themenseiten: Avast, Cybercrime, Datendiebstahl, Hacker, Security, Sicherheit, VPN

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Ziel CCleaner: Avast meldet Einbruch in internes Netzwerk

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *