CCleaner恶意代码研究漏洞公告

2017年9月18日，Piriform 民间宣布网安通知布告，通知布告称旗下的CCleaner version 5.33.6162和CCleaner Cloud version 1.07.3191中的32位应用法式被窜改并植入了恶意病毒木马代码。[参考1]
360CERT颠末跟踪阐发，确认民间描写的版本中确切存在恶意病毒木马代码，且该恶意病毒木马代码具有履行随意率性代码的功效，影响重大。
据悉，CCleaner 产物的应用者很普遍，倡议应用该产物的用户尽快停止排查进级处置。
0x01 变乱影响面
影响面
CCleaner 产物的应用者很普遍，影响面大。
今朝阐发，受影响的CCleaner产物中的恶意病毒木马代码具有履行随意率性代码的功效，迫害重大。
影响版本
CCleaner version 5.33.6162
CCleaner Cloud version 1.07.3191
DNS哀求态势

注：该图来自360网络网安研究院
0x02 部门技巧信息
注：部门信息来自[参考1]和[参考2]
据民间通知布告，恶意病毒木马代码存在于CCleaner.exe法式中，该恶意病毒木马代码会接收并履行长途节制服务器(C2)发送过过去的指令，技巧上属于二阶后门范例。
在编译器增长的初始化代码中的__scrt_get_dyn_tls_init_callback函数中增长了解密shellcode的挪用，从而履行恶意病毒木马法式并履行如下操纵：
1.    应用Xor方法解密和解压硬编码在法式中的shellcode(10kb巨细)
2.    解密出一个被抹掉MZ头部的DLL(静态库)文件(16 KB)
3.    随后DLL文件被加载和履行一个自力线程，并历久在后盾运转
4.    随后，被加载运转的DLL代码根本都是高度混杂的代码（字符加密，直接API挪用，等）。
详细重要履行如下操纵：
1.    试图存储相干信息到Windows注册表中 HKLM\SOFTWARE\Piriform\Agomo：
2.    MUID: 随机字符串，不肯定能否用于通讯；
3.    TCID: 定时器履行周期；
4.    NID: 节制服务器地点
试图网络如下的当地信息：
1.    主机名
2.    已装置软件列表，包含Windows更新
3.    过程列表
4.    前3个网卡的MAC地点
5.    检测过程权限能否管理员权限，能否64位等
以上信息均已base64的方法停止编码。
编码后的信息被发送到一个固定的长途IP地点 216[.]126[.]225[.]148，通讯上采纳HTTPS POST和捏造HOST:speccy.piriform.com的方法停止传输。
接着恶意病毒木马代码会接管216[.]126[.]225[.]148发送返来的二阶payload。该二阶payload应用base64编码，可通过一阶中的Xor算法停止解密。
为避免该IP生效，恶意病毒木马代码还示用了DGA(domain name generator)的方法来回避跟踪，今朝这些域名曾经肯定不属于攻击者节制了。
DGA天生算法

获得当地信息

字符串混杂

API直接挪用

汇集非微软的装置法式

罗列体系运动过程

Indicators of Compromise (IOCs)
域名地点
日期域名         DGA域名列表
2017年01月   abde911dcc16.com
2017年02月    ab6d54340c1a.com
2017年03月   aba9a949bc1d.com
2017年04月   ab2da3d400c20.com
2017年05月   ab3520430c23.com
2017年06月   ab1c403220c27.com
2017年07月   ab1abad1d0c2a.com
2017年08月   ab8cee60c2d.com
2017年09月   ab1145b758c30.com
2017年10月   ab890e964c34.com
2017年11月   ab3d685a0c37.com
2017年12月   ab70a139cc3a.com
2018年01月   abde911dcc16.com
2018年02月   ab99c24c0ba9.com
2018年03月   ab2e1b782bad.com
文件哈希
6f7840c77f99049d788155c1351e1560b62b8ad18ad0e9adda8218b9f432f0a9
1a4a5123d7b2c534cb3e3168f7032cf9ebf38b9a2a97226d0fdb7933cf6030ff
36b36ee9515e0a60629d2c722b006b33e543dce1c8c2611053e0651a0bfdb2e9
IP地点
216[.]126[.]225[.]148
0x03 网安倡议
1.    倡议用户尽快下载最新版本停止更新
下载链接：https://www.piriform.com/ccleaner/download/standard
2.    今朝 360网安卫士 曾经更新并能拦阻受影响的文件。如您不肯定能否受影响，您可如下载360网安卫士停止网安评价。