Até mesmo os aplicativos que deveriam nos proteger podem acabar se voltando contra nós. A Piriform, desenvolvedora do CCleaner, confirmou que uma invasão pode ter colocado seus usuários em risco durante o mês de agosto, com o software de limpeza e otimização de computadores tendo sido injetado com aplicações para controle remoto de máquinas.
Pior de tudo, a versão maliciosa era servida aos usuários a partir de servidores oficiais, o que indica que os criminosos tiveram acesso a pelo menos um computador, com acesso privilegiado, dentro da rede da desenvolvedora. Ao fazerem isso, publicaram uma versão do CCleaner que funcionava como deveria, mas, de forma imperceptível ao usuário, também instalava soluções de roubo de dados e acesso aos computadores à distância.
O ataque atingiu a versão do aplicativo para PC, tanto em sua versão local quando em uma dedicada para dispositivos da nuvem. De acordo com a Piriform, cerca de 2,27 milhões de pessoas baixaram a atualização de agosto do CCleaner, versão 5.33.6162, enquanto outros cinco mil instalaram a edição Cloud da plataforma, versão 1.07.3191, ambas maliciosas.
A brecha foi descoberta no início de setembro pela Avast, que é dona da Piriform, e, na mesma data, os servidores comprometidos foram completamente fechados. Uma versão atualizada e limpa foi liberada três dias depois. Entretanto, o CCleaner não é um software de atualização automática, portanto a empresa avisa aos usuários para realizarem o download da edição mais recente, garantindo que os malwares não estarão mais ativos em suas máquinas.
O pesquisador Craig Williams, de um time de segurança da Cisco que também trabalhou na descoberta e resolução da ameaça, comparou o ataque ao CCleaner àquele que aconteceu há alguns meses com o malware NotPetya. Ele citou a ameaça como sofisticada, não apenas pelo fato de os malwares passarem despercebidos para os usuários, mas também por estarem sendo distribuídos a partir de servidores legítimos, o que garantia confiabilidade por parte das futuras vítimas.
Segundo o especialista, a ameaça foi localizada em um estágio inicial e não teria sido usada para mais ataques, apesar do alto índice de infecção. O malware tentaria fazer com que os computadores infectados se conectassem de maneira oculta a certas páginas online, de forma a baixar novos softwares de rastreamento, obtenção de dados ou acesso remoto. Entretanto, quando foi descoberto, ainda estava em uma fase de coleta de informações e implementação, tendo sido bloqueado antes de começar a agir.
Além disso, a Piriform disse estar trabalhando com as autoridades americanas e obteve o controle de uma infraestrutura de servidores nos Estados Unidos para onde o tráfego infectado do programa seria redirecionado. Mais uma vez, a empresa afirma que nenhuma ação foi realizada antes da descoberta, garantindo que mesmo os usuários que baixaram a versão infectada não tiveram suas informações, dados e outros recursos comprometidos.
Fonte: Reuters