CPUID-Webseite kompromittiert: Bösartige Versionen beliebter PC-Diagnose-Tools
Die Webseite von CPUID, einem Hersteller von Diagnose-Tools, wurde Ziel eines Angriffs, bei dem Download-Links für CPU-Z und HWMonitor zu infizierten Dateien führten. Dies resultierte in der Verbreitung eines Remote-Access-Trojaners (RAT) unter Nutzern, einschließlich IT-Fachleuten.
Angriffsmechanismus und technische Details
Angreifer ersetzten Links auf der offiziellen Ressource und leiteten Besucher zu Archiven weiter, die Schadsoftware enthielten. Die infizierten Pakete enthielten eine legitime ausführbare Datei des Dienstprogramms sowie eine bösartige CRYPTBASE.dll-Bibliothek. Beim Start lud das System diese Bibliothek und löste eine Kette aus, die schließlich den STX-RAT-Trojaner installierte. Dieser Trojaner arbeitet im Speicher und ermöglicht Fernsteuerung sowie Datendiebstahl.
Der Angriff betraf die Versionen CPU-Z 2.19, HWMonitor 1.63 und 1.57 Pro sowie PerfMonitor 2.04. Die 64-Bit-Version von HWMonitor erwies sich als besonders anfällig. Die Hackeraktivität wird auf den Zeitraum zwischen dem 3. und 10. April geschätzt, mit einem Höhepunkt vom 9. April 15:00 Uhr bis zum 10. April 10:00 Uhr UTC.
Ziele und Folgen für Nutzer
CPUID-Tools werden weit verbreitet zur Hardware-Überwachung genutzt, von Enthusiasten bis hin zu Unternehmensadministratoren. Solche Nutzer arbeiten oft mit vertraulichen Daten – Konten, Zugriffsschlüssel und VPNs. Der Trojaner könnte Sitzungen, Cookies und Passwörter abgefangen haben und Wege zu internen Firmennetzwerken geöffnet haben.
Laut Experten waren über 150 Personen betroffen, überwiegend Privatpersonen. Allerdings fielen auch Organisationen aus den Bereichen Einzelhandel, Fertigung, Beratung, Telekommunikation und Landwirtschaft diesem Vorfall zum Opfer. Dies unterstreicht Risiken für Unternehmen, in denen Diagnose-Tools allgegenwärtig sind.
- Risiken für Betroffene:
- Fernzugriff auf das Gerät.
- Diebstahl von Zugangsdaten und Sitzungstokens.
- Zugang zu Unternehmensressourcen über VPN.
- Mögliche Ausbreitung innerhalb lokaler Netzwerke.
Verbindung zu früheren Vorfällen
Dieser Angriff spiegelt die Taktik der Kampagne im März wider, die gefälschte FileZilla betraf: DLL-Austausch, ähnliche Infrastruktur und Command-and-Control-Domains. Experten führen Elemente der Kette bis Juli 2025 zurück, was auf eine organisierte Gruppe mit verfeinerten Methoden hindeutet. Dieser Ansatz minimiert die Erkennung, indem er sich als offizielle Updates tarnt.
Kontext und branchenspezifische Bedeutung
Die Kompromittierung von Software-Vertriebskanälen ist eine wachsende Bedrohung in der Cybersicherheit. Erfolgsfaktoren umfassen Markenvertrauen und schwache Integritätsprüfungen beim Download. Die Konsequenzen erfordern die Verifizierung von Datei-Hashes und den Übergang zu signierten Updates. Für die Branche signalisiert dies die Notwendigkeit, die Anbieterüberprüfung zu stärken.
Gesamtkontext: Solche Lieferkettenangriffe stiegen laut Branchenberichten im vergangenen Jahr um 30%. Nutzern wird geraten, ihre Systeme zu scannen und die Antiviren-Software zu aktualisieren.
Wichtige Erkenntnisse
- Hacker ersetzten Links auf cpuid.com und verbreiteten STX RAT via DLL.
- Betroffene Versionen CPU-Z 2.19, HWMonitor 1.63/Pro 1.57; über 150 Opfer.
- Verbindung zu Angriffen seit Juli 2025, einschließlich des FileZilla-Vorfalls im März.
- Seite bereinigt bis 10. April, aber Risiken für Unternehmensnutzer bleiben bestehen.
- Empfehlung: Hashwerte prüfen und Sandbox zum Testen verwenden.
— Editorial Team
Noch keine Kommentare.