Newsgroup: it.comp.os.win.windows10
Titolo: CCleaner con regalino

Occhio a chi ha una versione a 32 bit di Windows ed ha installato o 
aggiornato recentemente CCleaner, potrebbe avere il PC infetto:
 
https://www.ilsoftware.it/articoli.asp?tag=CCleaner-vittima-di-un-attacco-l-installazione-caricava-un-malware_16133
 
 
Comunicato ufficile da Piriform:
http://www.piriform.com/news/blog/2017/9/18/security-notification-for-ccleaner-v5336162-and-ccleaner-cloud-v1073191-for-32-bit-windows-users
 
 
Altre info:
http://blog.talosintelligence.com/2017/09/avast-distributes-malware.html?m=1
 
 
 
 
-- 
Ciao, Guglielmo.

Rispondo quì sotto a Guglielmo

Io avevo la versione a 5.33 incriminata ma a 64bit. Non so se fosse 
infetta, in ogni caso ho ricaricato una immagine di w10 risalente al 20 
Agosto in cui avevo ancora la versione 5.30 x64, sperando che sia sana.
 
Sulla versione 5.33 x64 una scansione con kaspersky non aveva trovato 
nulla.
 
Ho letto che dovrebbe esserci la release pulita 5.34.... forse è meglio 
che passi a quella?

Rispondo quì sotto a ArchiPit

Però c'è una cosa che non mi quadra...
Sul sito nulla evidenzia se stai scaricando la versione x64.
Mi sa che l'installer sia unico per le 2 versioni e dove trova hw a 
64bit installa la versione x64, se invece è a 32 bit installa la 
versione x86.
 
Questo mi farebbe pensare che pure la versione x64 possa essere stata 
bacata, dato che è l'installer a essere stato compromesso.

 dato che è l'installer a essere stato compromesso.
 
no, sul blog di Piriform viene detto chiaramente che è l'applicazione e 
non l'installer a essere stato compromesso e che la versione a 64bit è 
sana.
Non solo, ma viene precisato che aggiornando la release viene eliminato 
anche il malware:
"At this time, we won’t be releasing a detection tool as the issue was 
in CCleaner itself, so uninstalling or updating the software removes 
the risk."
 
https://forum.piriform.com/index.php?showtopic=48869
 
 
Vedere il post #13

 versione x86.
 
Infatti è così. Per vedere se la versione di un programma in esecuzione 
è a 32 bit, basta andare in gestione attività, scheda processi, nei 
processi a 32 bit appare l'indicazione accanto.
 
E proprio per questo ho scritto genericamente di versione di Windows a 
32 bit :-)
 
 
-- 
Ciao, Guglielmo.

 anche il malware:
 
Divertente costatare che nelle Release Notes della 5.34 si continua a 
non far cenno alla cosa...
 
Release Notes
v5.34.6207 (12 Sep 2017)
Browser Cleaning
- Firefox: Internet History cleaning rule no longer removes Favicon content
 
General
- Minor GUI improvements
- Minor bug fixes
 
 
 
Sarà compresa nei minor bug fixing... :-P
 
 
 
http://www.piriform.com/ccleaner/release-notes/5.34.6207/b1/a0
 
 
-- 
Ciao, Guglielmo.

 passi a quella?
 
Che te lo chiedi a fare? Aggiorna e basta no! ;-)
 
-- 
Mister Palletta
www.misterpalletta.com
 

 Che te lo chiedi a fare? Aggiorna e basta no! ;-)
 
Col cavolo, io me lo chiedo eccome, perchè voglio capire.
Il mio dubbio era: se passo alla nuova versione elimino il malware o 
rimango panicato e con le larve di mosca sotto la pelle della pancia 
del pc?
 
La cosa è stata chiarita solo andando a vedere sul blog di Piriform, 
che il malware non si diffonde sul SO, ma rimane sull'applicazione e 
gira solo con l'applicazione.
 
Io comunque, come avrai letto e prima di sapere questa cosa, ho 
preferito fare il restore di tutto il sistema operativo con una 
immagine fatta ai primi di settembre quando avevo ancora Ccleaner 5.30.
 
In ogni caso male non ho fatto, e mi son costati solo 5 minuti di 
restore senza perdere nulla di nulla, dato che i dati stanno su altro 
disco.


la cosa migliore da fare e' BUTTARE NEL CESSO CCLEANER
e tutte le boiate similari.

 senza perdere nulla di nulla, dato che i dati stanno su altro disco.
 
Beh, per quel poco tempo che ci hai messo, di certo male non fa!
Ciao
 
-- 
Mister Palletta
www.misterpalletta.com
 

 aggiornato recentemente CCleaner, potrebbe avere il PC infetto:
 
Per fortuna ho mollato CCLeaner da qualche tempo, l'alternativa che ho
scelto è 
https://www.bleachbit.org/
 
 

 scelto è
https://www.bleachbit.org/
 
 
Lo uso su Linux ma non mi ha mai convinto del tutto. Dovrò provare la 
versione per Windows che a dire il vero non sapevo neppure esistesse :-)
 
 
 
-- 
Ciao, Guglielmo.

 Io non ho fatto alcun restore ed è tutto pulito comunque!
 
Di questo non puoi né ora né mai essere sicuro.
Nessuno può esserne sicuro.
 
 Addirittura nemmeno Piriform sapeva che il loro programma fatto da 
loro proprio loro, in casa loro, era bacato; se ne sono accorti solo 
casualmente sniffando il traffico e non riuscivano a capire perchè 
l'applicazione cercasse un ip hardcoded non loro.
 
Potevamo saperlo noi?
Puoi saperlo tu?
Hai mai sniffato il tuo traffico?

Rispondo quì sotto a Arne Saknussemm

Però Virustotal dice 2 positivi su 57...
Volevo provarlo, ma...
 
https://www.virustotal.com/#/file/95767e40c22c9fe974d34941a6b08e24ab1cd50c7f00902b2a20afc01eed67bc/detection
 

Rispondo quì sotto a ArchiPit
 
 

Avevo Virustotalato la versione portabile, non so quella con 
l'installer

 Hai mai sniffato il tuo traffico?
 
Scusa tanto se non mi faccio troppe paranoie, ma io tendo a 
preoccuparmi
quando i problemi si presentano, non semplicemente si ipotizzano!!!
Se esco di casa potrei essere messo sotto da un TIR...
Se mi punge una zanzara potrei prendere la malaria...
Se faccio sesso con una sconosciuta potrei prendere l'aids...
Se... se... se... se mi nonno c'aveva 3 palle era 'n flipper!!



Per notizia anche la mia versione a 64 bit era infettata.
Appena lanciata è stata immediatamente rilevata e cancellata da Windows 
Defender.
 

 Va bene così, pignolone??? :-D :-D :-D
 
Sicuro...

 Però Virustotal dice 2 positivi su 57...
 
Solo tali Baidu e Cylance (chi?????) hanno qualcosa da ridire. Tutti gli 
altri, tra cui i più autorevole non dicono nulla. Direi che può essere 
compreso come falso positivo.
 
Se hai ancora dubbi, aspetta una settimana e rifai il test.
 
 
 
 
-- 
Ciao, Guglielmo.

 Defender.
 
Improbabile che fosse infetta, più probabile secondo me che defender lo 
abbia messo per così dire nella lista dei cattivi e lo cassi a 
prescindere. Io ho un altro antivirus e non posso verificare, altri casi 
analoghi?
 
 
 
-- 
Ciao, Guglielmo.


io uso sempre versione portatile

 aggiornato recentemente CCleaner, potrebbe avere il PC infetto:
 
 
visto che siamo in tema segnalo CCEnhancer
 
https://singularlabs.com/software/ccenhancer/
 
 
aggiunge le funzioni che sarebbero disponibili solo nella versione pro?
oppure che farebbe?

 messo per così dire nella lista dei cattivi e lo cassi a prescindere. 
 
Da cosa lo deduci? Perchè dovebbe metterlo (ccleaner) nella
lista dei cattivi a prescindere? Solo perchè è MS defender,
deve essere per forza approssimativo?
 
-- 
Mister Palletta
www.misterpalletta.com
 

 lista dei cattivi a prescindere? 
 
Vedi sopra, per rassicurare gli utenti che l'antivirus veglia...
 
In ogni caso le mie sono solo ipotesi, chiedevo conferma proprio per 
eventualmente smentirle.
 
 
-- 
Ciao, Guglielmo.

 Repubblica non ricordo bene) se ne parla.
 
http://www.dday.it/redazione/24246/il-mondo-al-contrario-ccleaner-invece-di-pulire-i-pc-ha-distribuito-malware-per-un-mese
 
 
-- 
Ciao, Guglielmo.



Ho provato con l'installer, stesso risultato, ma ho la vaga impressione
che si tratti di un falso positivo, considerando che il tool accede ad
alcune aree di sistema, è facile che alcuni AV "pensino male" :P
 
 
 

 "pensino male" :P
 
tra l'altro, visto che è opensource, mi viene quasi la tentazione di
provare a ricompilarlo e passare a VT la versione ricompilata; credo
che gli AV "brontoleranno" di nuovo :P
 

che gli AV "brontoleranno" di nuovo :P
 
Non so cosa fa l'installer, io ho aperto l'.exe con 7Zip e ho estratto
"CCleaner.exe", sostituendolo al precedente portable funziona bene, e virustotal
stavolta è tutto verde.
 
 
 
-- 
ciao
  Stefano


ma perchè non scaricate direttamente la portable fornita tanto bene sul 
sito ufficiale?
 
https://www.piriform.com/ccleaner/download/portable
 
 
cmq bella figura Avast, già rompe il cazzo con la firma nei messaggi, 
ora aggiunge anche questo.

 aggiunge anche questo.
 
Anche a me rompe quel messaggio in firma, ma si dovrebbe poterlo 
eliminare agendo nella sua configurazione o in quella del newsreader.
Ho letto anche qualche post che mette in firma un messaggio del tutto 
analogo di AVG, che del resto da un anno appartiene ad Avast...


a me il NOD non mi ha detto niente, però ho/avevo la portable e di certo 
non ho lanciato l'exe a 32 bit.
(per chi non lo sapesse nella portable sono presenti tutte e due gli exe)
 
cmq da quello che ho capito il problema era in fase di installazione, 
quindi anche lanciando l'exe della portable non c'era nessun problema, 
quindi non conta, ma faccio notare la cosa :)

 Però Virustotal dice 2 positivi su 57...
 
paranoie!
 
ci facciamo problemi per 2 su 57? AH!

 eliminare agendo nella sua configurazione o in quella del newsreader.
 
in avast, impostazioni, generali, disattivare "attiva la firma
e-mail di avast"


https://www.piriform.com/ccleaner/download/portable
 
 
Piriform.com mi ha fatto fare il giro dell'oca due o tre volte tra la pagina di
download e quella del portable, e alla fine mi sono rotto e ho estratto il file
dall'eseguibile, che comunque è identico a quello del tuo link.
 
C'è da dire che forse l'uso di Noscript ha influito nel comportamento di quel
sito, ma io disabilito di norma solo il sito principale.
 
 
-- 
ciao
  Stefano

 deve essere per forza approssimativo?
 
Di sicuro, microsoft NON è specializzata in antivirus, e non ha tante  
risorse dedicate a queste cose quanto Eset, kaspersky e altri.

sito, ma io disabilito di norma solo il sito principale.
 
era 'io abilito' ....
 
 
 
-- 
ciao
  Stefano

 sito, ma io disabilito di norma solo il sito principale.
 
noscript è il male (no flame)

noscript è il male (no flame)
 
Opinione tua, io lo uso da un decennio oramai e lo ritengo una misura di
sicurezza imprescindibile, tanto che se devo abilitare troppi siti piuttosto uso
Firefox da un Lubuntu su Virtualbox e vado tranquillo.
 
Inoltre ho messo un'estensione simile anche su Chromium.
 
-- 
ciao
  Stefano

 Firefox da un Lubuntu su Virtualbox e vado tranquillo.
 
basta usare ublock e greasmonkey e ottieni gli stessi risultati, poi 
magari dipende anche dall'antivirus che uno usa.
ho usato umatrix per un po' di tempo, ma faceva troppo casino pure quello
 
 

 dipende anche dall'antivirus
 
se usi noscript come si deve, di sicuro l'antivirus lavora di meno :)
 
comunque non puoi considerare l'antivirus come una barriera
impenetrabile ma semplicemente come "l'ultima linea di difesa"
 

 di sicurezza imprescindibile
 
+1 
 
anche se, devo ammettere che noscript non è "per tutti", bisogna
saperlo usare e configurare :)
 
 
 

ho usato umatrix per un po' di tempo, ma faceva troppo casino pure quello
 
Uso anche Ublock, certo, ma se posso evitare di andare su siti non necessari e
molto spesso nocivi č meglio.
 
Poi  non č proprio la stessa cosa evitare di scaricare un malware e sperare che
l'antivirus lo intercetti prima che faccia danni.
 
 
-- 
ciao
  Stefano

 ha
scritto:
 
 
Poi  non è proprio la stessa cosa evitare di scaricare un malware O sperare che


 
 
ciaociao
 

 molto spesso nocivi è meglio.
 
vabbè ciao
avevo detto niente flame, possiamo chiudere, grazie


AHAHAHAHHAHAHA ma che minchia dici? guarda che l'antivirus non te lo fa 
scaricare se è malevolo.

avevo detto niente flame, possiamo chiudere, grazie
 
Nessun flame, ho solo espresso e motivato la mia opinione, non pretendo certo di
cambiare la tua.
 
Anche per me è una discussione chiusa.
 
-- 
ciao
  Stefano

 Anche per me è una discussione chiusa. 
 
bene.

 
https://www.ilsoftware.it/articoli.asp?tag=CCleaner-vittima-di-un-attacco-l-installazione-caricava-un-malware_16133
 
 
Mi dicono da diverse fonti che uno dei primi antimalware ad
identificare la "bestiaccia" è stato MalwareBytes nella versione "a
pago" con scansione in tempo reale
 
https://www.malwarebytes.com/
 
 
 



per chiarezza, mi riferisco a questo
 
https://www.malwarebytes.com/premium/
 
 
 

 ciaociao  
 
anche a te, buon proseguimento, divertiti
 
 
 
 
 

Rispondo quì sotto a Guglielmo
 
Per verificare se si è stati infettati:
 
https://www.ilsoftware.it/articoli.asp?tag=CCleaner-con-malware-l-attacco-e-piu-ampio-e-sofisticato-Le-novita_16153
 

 Per verificare se si è stati infettati:
 
pare peggio di quello che sembrava... 
https://www.zeusnews.it/n.php?c=25765
 
 
-- 
Fri(END), Boyfri(END), Girlfri(END), Bestfri(END). Everything has an END 
except...Fam(ILY)! It Has 3 Letters that say I LOVE YOU

 pare peggio di quello che sembrava... 
https://www.zeusnews.it/n.php?c=25765
 
 
Sostanzialmente ho fatto bene a ricaricare una immagine che aveva 
Ccleaner pulita (bè, speriamo...) come avevo detto nel mio post del 18, 
benchè la versione che avevo installato fosse quella a 64bit dichiarata 
come non contaminata.
Una scansione con Kaspersky, aggiornatissimo, non mi ha trovato nulla.

 Una scansione con Kaspersky, aggiornatissimo, non mi ha trovato nulla.
 
 
Male non hai fatto, me bene neanche :-)
 
Se hai una versione di Windows a 64 bit l'eseguibile a 32 bit di 
CCleaner non veniva caricato in memoria per cui non poteva far danni.
 
 
-- 
Ciao, Guglielmo.

 CCleaner non veniva caricato in memoria per cui non poteva far danni.
 
Il che confermerebbe la prima  impressione che ho avuta nel momento in 
cui sono venuto a conoscenza della cosa. L'impressione che si è trattato 
di un attacco mirato a una o alcune aziende o entità statali di qualche 
paese. Gli autori dell'attacco sapevano che serviva manipolare solo la 
versione a 32 bit e quindi tralasciato la 64.
 
 
 
-- 
Ciao, Guglielmo.