CCleaner 5.33 : anatomie d'une supply chain attack ayant infecté 2,27 millions de machines en 2017

📰 Cet article publié le 23 septembre 2026 sur le blog ShevArezo.fr est une rétrospective détaillée de l’incident CCleaner de 2017, reconstituée à partir des analyses publiées par Cisco Talos, Avast et Kaspersky.

🎯 Contexte de l’attaque CCleaner, logiciel de nettoyage Windows édité par Piriform (société britannique rachetée par Avast en juillet 2017), comptait plusieurs milliards de téléchargements cumulés. Sa large base d’utilisateurs en a fait une cible de choix pour une attaque par chaîne d’approvisionnement (supply chain attack).

🗓️ Chronologie de l’intrusion

• 11 mars 2017 : Accès initial via TeamViewer avec des identifiants réutilisés issus d’une fuite de données
• 12 mars 2017 : Rebond vers une seconde machine via RDP
• 12 avril 2017 : Déploiement de ShadowPad sur plusieurs postes et un serveur de build
• Avril–juillet 2017 : Collecte d’identifiants et progression latérale dans le réseau
• 2 août 2017 : Substitution du binaire officiel de CCleaner par la version piégée
• 15 août 2017 : Publication publique de CCleaner 5.33 contenant la porte dérobée
• 13 septembre 2017 : Détection par Cisco Talos
• 15 septembre 2017 : Neutralisation des serveurs C2 avec le concours des autorités américaines

🦠 Mécanisme technique Le malware Floxif a été injecté directement dans le binaire officiel de CCleaner en détournant une fonction d’initialisation. Le fichier résultant était signé numériquement avec le certificat de Piriform, le rendant indétectable par Windows et les antivirus. Floxif collectait : nom de l’ordinateur, logiciels installés, adresses MAC, identifiant unique de la victime, puis transmettait ces données à un serveur C2.

🎣 Opération de ciblage sélectif Sur 2,27 millions de machines infectées, un second module n’a été livré qu’à une quarantaine de postes sélectionnés par nom de domaine réseau. Les organisations ciblées incluaient : Google, Microsoft, Cisco, Intel, Samsung, Sony, VMware, HTC, D-Link, Linksys, Singtel, Akamai. L’objectif apparent était l’espionnage industriel (code source, propriété intellectuelle).

🔍 Attribution Kaspersky a relevé des similitudes de code avec des outils attribués au groupe Axiom, associé à la Chine. Le serveur C2 était configuré sur le fuseau horaire chinois, mais les horaires de connexion correspondaient davantage à l’Asie centrale ou à l’Europe de l’Est. Aucune attribution officielle n’a été établie.

📌 Cet article est une rétrospective à visée pédagogique, visant à documenter un cas emblématique de supply chain attack et à le replacer dans le contexte d’incidents similaires (NotPetya/M.E.Doc, SolarWinds).

🧠 TTPs et IOCs détectés

Acteurs de menace

• Axiom (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK

TTP

• T1195.002 — Compromise Software Supply Chain (Initial Access)
• T1078 — Valid Accounts (Initial Access)
• T1021.001 — Remote Desktop Protocol (Lateral Movement)
• T1219 — Remote Access Software (Command and Control)
• T1056.001 — Keylogging (Collection)
• T1082 — System Information Discovery (Discovery)
• T1016 — System Network Configuration Discovery (Discovery)
• T1553.002 — Code Signing (Defense Evasion)
• T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
• T1071 — Application Layer Protocol (Command and Control)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)

IOC

• Fichiers : CCleaner.exe

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• ShadowPad (rat)
• Floxif (backdoor)

🟡 Indice de vérification factuelle : 51/100 (moyenne)

• ⬜ blog.shevarezo.fr — source non référencée (0pts)
• ✅ 10188 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 11 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Axiom (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://blog.shevarezo.fr/post/2026/09/23/comment-mise-a-jour-ccleaner-infecte-2-27-millions-ordinateurs