Ziel CCleaner: Avast meldet Einbruch in internes Netzwerk

Der tschechische Sicherheitsanbieter Avast hat einen Einbruch in sein internes Netzwerk gemeldet. Die Hacker gelangten demnach über ein kompromittiertes VPN-Konto eines Mitarbeiters in das System. Das Unternehmen vermutet, dass es die Täter auf die Avast-Software CCleaner abgesehen hatten, um sie erneut mit Malware zu verseuchen.

Der Einbruch war möglich, weil das fragliche VPN-Konto nicht mit einer Authentifizierung in mehreren Schritten gesichert war. Der Vorfall an sich ereignete sich am 23. September. Bei seinen Untersuchungen stellte Avast schließlich fest, dass die Täter offenbar schon seit 14. Mai versucht hatten, in die Infrastruktur einzudringen.

„Der Benutzer, dessen Anmeldeinformationen anscheinend kompromittiert wurden, hatte keine Domänenadministrationsrechte. Durch eine erfolgreiche Privilegienerweiterung gelang es dem Akteur jedoch, Domain-Administrator-Rechte zu erhalten“, sagte Jaya Baloo, Chief Information Security Officer bei Avast. Die unerwartete Rechteausweitung habe die interne Untersuchung ausgelöst.

Dabei hätten Mitarbeiter weitere Sicherheitsmeldungen von Microsoft Advanced Threat Analytics entdeckt, einem Analysesystem von Microsoft, um interne Netzwerke vor schädlichen Angriffe von innen zu schützen. Diese Meldungen waren zuvor als False Positives eingestuft worden. Sie zeigten jedoch, dass das kompromittierte Nutzerkonto versucht hatte, Avasts Active-Directory-Dienst zu replizieren.

Die Aktivitäten der Angreifer überwachte Avast noch bis zum 15. Oktober. Bis dahin untersuchte das Unternehmen frühere Releases von CCleaner auf mögliche Manipulationen und veröffentlichte zudem ein sauberes Update.

Darüber hinaus änderte Avast das digitale Zertifikat für die Signierung von CCleaner-Updates. Die Gültigkeit früherer Zertifikate wurde zudem widerrufen, für den Fall, dass den Angreifern bei ihrem Einbruch alte Zertifikate in die Hände gefallen sind. Schließlich setzte Avast auch noch alle Anmeldedaten seiner Mitarbeiter zurück. „Nachdem wir alle Vorsichtsmaßnahmen ergriffen haben, sind wir zuversichtlich, dass unsere CCleaner-Nutzer geschützt und nicht betroffen sind“, ergänzte Baloo.

Inzwischen ermitteln auch tschechische Behörden in der Sache. Weitere Details nannte Avast auf Rückfrage von ZDNet USA mit Hinweis auf die Ermittlungen nicht. Das Unternehmen geht allerdings aufgrund der bisher gesammelten Daten davon aus, dass es sich nicht um die Täter handelt, denen es 2017 gelungen war, CCleaner mit einer Schadsoftware zu versuchen. Damals gehörte die Software allerdings noch zu Piriform – Avast machte den Angriff aber nach Übernahme des Tools öffentlich.

WEBINAR

BlackBerry CylancePERSONA – Flexible Sicherheitsrichtlinien für mobiles Arbeiten

Erfahren Sie in diesem Webinar, wie Sie die Vorteile von BlackBerry Intelligent Security in Ihrem Unternehmen voll ausschöpfen. Dazu zählen etwa eine höhere Endgerätesicherheit, ein verbesserter Bedienkomfort sowie eine erhöhte Produktivität bei reduzierten Kosten.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Microsoft verschiebt Support-Ende für TLS 1.0 und 1.1

Die veralteten Verschlüsselungsprotokolle erhalten aufgrund der Corona-Krise eine Gnadenfrist. Edge Chromium unterstützt sie noch mindestens bis Juli, Internet Explorer und…

3 Stunden ago

Trotz Handelsboykott: Huaweis P40 enthält weiterhin Bauteile von US-Unternehmen

Ein Teardown offenbart Komponenten von Qorvo, Qualcomm und Skyworks. Hersteller wie Micron sind indes nicht mehr vertreten. Ein Huawei-Sprecher betont,…

5 Stunden ago

Hacker nutzen COVID-19-Pandemie zur Verbreitung datenlöschender Malware

Forscher beschreiben mindestens fünf verschiedene Varianten. Sie löschen Dateien oder überschreiben den Master Boot Record, um einen Zugriff auf die…

6 Stunden ago

PowerToys für Windows 10: Microsoft stellt vier neue Apps vor

Sie erleichtern das Umbenennen von Dateien und das Skalieren von Fotos. Die PowerToys bietet zudem eine Alternative zur Alt-Tab-Funktion. Neu…

8 Stunden ago

Sicherheitsforscher veröffentlicht weitere Zero-Day-Lücke im Zoom-Client

Die Software für macOS erlaubt das Einschleusen und Ausführen von Schadcode. Solcher Schadcode übernimmt zudem die Rechte für den Zugriff…

10 Stunden ago

Crypto-Mining-Botnet greift seit zwei Jahren Microsoft-SQL-Server an

Die Angreifer knacken Administrator-Konten per Brute Force. Aktuell infiziert die Vollgar genannte Malware täglich rund 3000 MS-SQL-Server. Das Botnet verliert…

11 Stunden ago