En bref
Que s'est-il passé ?
En septembre 2017, Cisco Talos et l'éditeur révèlent que CCleaner 5.33, distribué environ un mois depuis les serveurs officiels de Piriform (Avast), contenait une porte dérobée.
Des postes de développeurs avaient été compromis pour injecter le code malveillant dans le build, en amont de la signature : l'exécutable piégé était donc signé légitimement et indiscernable d'une version saine.
~2,3 millions d'utilisateurs ont téléchargé la version infectée. Cette première charge servait de tête de pont à une seconde, ciblée vers une vingtaine de grandes entreprises technologiques pour de l'espionnage.
Durcir et isoler la plateforme de build, restreindre et tracer les accès des postes de développeurs, générer une provenance non falsifiable, et vérifier l'intégrité des artefacts à la réception.
Chronologie de l'attaque
Cisco Talos et l'éditeur révèlent que CCleaner 5.33, signé et distribué officiellement pendant environ un mois, est piégé (~2,3 M de téléchargements).
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Durcir et isoler la plateforme de build ; provenance non falsifiable ; intégrité a la réception.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 15 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :