CPUID: Angreifer haben über Webseite Malware-Installer verteilt
Die Webseite CPUID der System-Analyse-Tools CPU-Z und HWMonitor wurde von Angreifern manipuliert. Sie verteilte Malware.
(Bild: heise medien)
Wer am Donnerstag oder Freitag vergangener Woche, also dem 9. oder 10. April 2026, die System-Analysewerkzeuge von der CPUID-Webseite wie CPU-Z oder HWMonitor heruntergeladen hat, sollte den Rechner auf Malware-Befall untersuchen. Die Webseite lieferte an diesen Tagen für mehrere Stunden zufällig Links auf Malware anstatt auf die regulären Installationspakete aus.
Den genauen Vorfall mit tiefgehender Malware-Analyse beschreibt ein Dokument des IT-Forschers mit Handle nemesis auf GitHub. Demnach konnten Angreifer die CPUID-Webseite über eine Schwachstelle in einer API kompromittieren. Die Webseite hatte dadurch demnach zufällig bösartige Links angezeigt. Die signierten Originaldateien wurden allerdings nicht verändert.
Manipulierte Download-Pakete
Die Analyse beschreibt, dass die Malware-Pakete glaubwürdige Dateinamen wie „cpu-z_2.19-en.zip“ trugen und die legitimen CPU-Z-Dateien enthielten, nebst einer bösartigen CRYPTBASE.dll. Die missbraucht die Standard-Windows-Suchreihenfolge, die diese Datei zunächst im aktuellen Verzeichnis und erst dann in Systemverzeichnissen sucht. Dadurch gelangt der Schadcode durch diese sogenannte „DLL Sideloading“-Schwachstelle zur Ausführung. Nach der Ausführung folgt eine mehrstufige Infektionskette. Eine von Kaspersky als „Backdoor.Win64.Alien“ erkannte Backdoor wird dabei persistent im System verankert. Die Analyse liefert diverse Anzeichen für erfolgreiche Angriffe (Indicators of Compromise, IOC).
Der Analyse von vxunderground auf Bluesky zufolge wurde der Angriff etwa ab 1 Uhr morgens am Freitag nach mitteleuropäischer Ortszeit (7 pm EST) entdeckt. Auch das HWMonitor-Paket lag dadurch in manipulierter Fassung als Download vor. Ein weiterer Kommentar weist auf eine Stellungnahme des CPU-Z- und HWMonitor-Maintainers @d0cTB. Demnach dauerten die Untersuchungen noch an, jedoch scheint eine API für sekundäre Funktionen der Webseite für etwa sechs Stunden kompromittiert gewesen zu sein. Dadurch habe die Hauptseite zufällig bösartige Links angezeigt. Die signierten Originaldateien wurden dabei nicht kompromittiert. Der Einbruch wurde entdeckt und daraufhin gestoppt.
Laut der tiefergehenden Analyse von nemesis handelt es sich um einen Lieferkettenangriff, bei dem die offizielle CPUID-Download-Infrastruktur bösartige Dateien ausgeliefert habe. Die Download-Links wurden dabei auf einen Cloudflare-C2-Speicher umgeleitet, anstatt auf die Standard-Infrastruktur von CPUID zu verweisen. Die Angreifer lieferten ihre eigenen trojanisierten Pakete aus, die durch russischsprachige Installer auffielen; die signierten Original-Installer wurden nicht manipuliert. Es gab also zwei Varianten der manipulierten Pakete, einmal die ausführbaren InnoSetup-Installer und dann die neu verpackten .zip-Dateien mit der zusätzlichen bösartigen CRYPTBASE.dll. Die Analyse erwähnt zudem eine ähnliche Malware-Kampagne gegen FileZilla Anfang März 2026, was auf dieselben Angreifer deute.
Videos by heise
Wer im fraglichen Zeitraum die Software von CPUID heruntergeladen hat, sollte prüfen, ob es sich um die bekannten Malware-Varianten handelt. Auf VirusTotal sollten die Scanner inzwischen zu einem Großteil darauf anschlagen.
Lieferketten- oder auch Supply-Chain-Angriffe treffen viele Unternehmen. So konnten Angreifer vor rund zwei Wochen durch eine Supply-Chain-Attacke auf LiteLLM auf interne Cisco-Daten zugreifen. Dabei sollen Quellcode und Kundendaten gestohlen worden sein.
(dmk)
