Onderzoekers van Malwarebytes ontdekten een campagne waarbij een overtuigende nepversie van de populaire CCleaner utility wordt gebruikt om een meerfasige Windows-malware te verspreiden. Deze malware misbruikt Google Chrome om inloggegevens, cookies, toetsaanslagen en schermafbeeldingen te stelen, en stelt aanvallers in staat om willekeurige JavaScript-code in actieve browsertabs te injecteren.

De aanvallers maakten een nagemaakte CCleaner-downloadsite aan, genaamd "ccleanerwind[.]top", van waaruit een kwaadaardig uitvoerbaar bestand "CCleaner.exe" werd verspreid. Dit bestand start een legitieme Windows-scripttaal (CScript) om vervolgens meerdere kwaadaardige scripts uit te voeren die systeeminformatie verzamelen en de Chrome-browser manipuleren. Daarbij wordt onder meer het bestand "runtimebroker.dll" in de gebruikersmap vervangen door een loader die kwaadaardige extensies activeert bij het opstarten van Chrome.

De malware, door Malwarebytes aangeduid als GhostDesk, bestaat uit twee JavaScript-bestanden: "content.js" en "background.js". De eerste registreert toetsaanslagen, controleert ingevulde formulieren op inloggegevens en financiële data, en monitort het klembord om bijvoorbeeld cryptoadressen te vervangen. De tweede steelt cookies, maakt schermafbeeldingen en zorgt voor persistente communicatie via een WebSocket-relay, zodat de verbinding met de command-and-control server kan worden hersteld bij het opstarten van Chrome.

Naast de nep-CCleaner werden ook valse versies van 7-zip en Adobe Acrobat ontdekt die dezelfde techniek en command-and-control infrastructuur gebruiken. Deze malware communiceert met dezelfde server "liderongrade.duckdns[.]org" en gebruikt vergelijkbare scriptlaadmechanismen, waarbij sommige Adobe-samples "wscript.exe" inzetten in plaats van "cscript.exe".

De combinatie van het stelen van browsercookies, inloggegevens, toetsaanslagen en schermbeelden vormt een ernstige bedreiging, vooral omdat ook authenticatietokens en financiële informatie worden buitgemaakt. Malwarebytes adviseert gebruikers om downloadlinks zorgvuldig te controleren, vooral bij zoekresultaten en gedeelde links via sociale media, sms of e-mail. Het gebruik van betrouwbare bronnen zoals de officiële websites van softwareleveranciers en app stores wordt aanbevolen, evenals het inzetten van actuele anti-malware oplossingen met webbescherming. Daarnaast blijft het belangrijk om het besturingssysteem, de browser en beveiligingssoftware up-to-date te houden.