Affaire CCleaner : l’attaque supply chain qui a piégé 2,27 millions de PC

L’affaire CCleaner est l’un des cas d’école de l’attaque par chaîne d’approvisionnement logicielle (supply chain attack). En août 2017, la version 5.33 du logiciel de nettoyage le plus populaire du monde a été distribuée par les canaux officiels avec une porte dérobée greffée à l’intérieur. Signée avec le véritable certificat de l’éditeur, cette mise à jour a infecté 2 270 000 ordinateurs en un mois, sans qu’aucun antivirus ne réagisse.

Le plus troublant n’est pas l’ampleur de l’infection, mais son objectif. Derrière l’opération, il n’y avait ni voleur ni maître-chanteur, mais des espions. Sur les millions de victimes, seule une quarantaine de machines, appartenant à des géants comme Google, Microsoft, Intel, Cisco ou Samsung, ont reçu la charge finale. Le grand public n’était pas la cible : il était la porte d’entrée.

Cet article retrace la chronologie complète de l’affaire CCleaner, explique le fonctionnement technique de l’attaque, revient sur la question de l’attribution et détaille les leçons qui ont durablement changé les pratiques de l’industrie.

Qu’est-ce qu’une attaque supply chain ?

Pour frapper deux milliards de machines, il existe deux méthodes. La première consiste à attaquer chaque ordinateur, un par un : impossible à l’échelle. La seconde est infiniment plus élégante, et bien plus terrifiante.

Une attaque par chaîne d’approvisionnement ne vise pas l’utilisateur final, mais celui en qui l’utilisateur a une confiance aveugle : l’éditeur du logiciel. En compromettant l’éditeur, l’attaquant transforme la mise à jour officielle en cheval de Troie. Le mécanisme est redoutable parce qu’il exploite précisément les réflexes de sécurité que l’on recommande : maintenir ses logiciels à jour et faire confiance aux binaires signés.

CCleaner avant l’attaque : deux milliards de fois confiance

Pour comprendre l’ampleur du désastre, il faut d’abord comprendre la légende. En 2003, à l’époque de Windows XP, des disques durs qui saturent et des PC qui ralentissent au fil des mois, un développeur londonien crée un petit outil pour faire le ménage. Son nom d’origine, « Crap Cleaner », sera vite raccourci en CCleaner. Un an plus tard, la société Piriform voit le jour.

La recette tient en trois mots, gratuit, léger, efficace. Le logiciel efface les fichiers temporaires, vide les caches, nettoie le registre de Windows et allège le démarrage. Le succès est foudroyant :

• 2012 : un milliard de téléchargements.
• 2016 : deux milliards de téléchargements, soit un pour trois habitants de la planète.
• Cinq millions de nouveaux utilisateurs chaque semaine.

CCleaner est le logiciel que l’on installe sur le PC de ses parents et que l’on recommande les yeux fermés. Un standard, un réflexe, un symbole de confiance. C’est précisément cette confiance qui va être prise pour cible.

Le rachat par Avast et l’intrusion chez Piriform

En juillet 2017, Avast, le géant tchèque de l’antivirus, rachète Piriform pour un montant révélé plus tard de 121 millions de dollars. Sur le papier, c’est l’union parfaite entre un éditeur de sécurité et le logiciel de nettoyage le plus populaire du monde. Mais un détail échappe à tout le monde : au moment de la signature, le réseau de Piriform est déjà infiltré depuis quatre mois. Avast vient d’acheter une entreprise piégée, et c’est Avast qui, bientôt, distribuera le poison au monde entier.

Comment les attaquants sont entrés

Le 11 mars 2017, vers cinq heures du matin, l’ordinateur d’un développeur de Piriform est resté allumé dans les locaux. Les attaquants s’y connectent à distance via un logiciel parfaitement légitime, TeamViewer. Une seule tentative, réussie du premier coup, ce qui ne laisse aucun doute : ils possédaient déjà le mot de passe. Un mot de passe réutilisé par le développeur, et fuité lors d’une autre brèche.

Une fois à l’intérieur, les attaquants avancent méthodiquement. Ils passent d’un poste à un autre, dissimulent leurs outils dans les recoins du système et, le 12 avril 2017, déploient leur arme la plus discrète : ShadowPad, un logiciel espion modulaire capable d’enregistrer les frappes au clavier, de voler des mots de passe et de prendre le contrôle à distance. Ils ne cherchent pas à voler quelques fichiers. Ils veulent la chaîne de production elle-même.

La version 5.33 : le poison signé

Le 15 août 2017, CCleaner publie sa version 5.33. Rien ne la distingue des dizaines de mises à jour précédentes, sauf qu’à l’intérieur du fichier officiel, greffé sur le vrai programme, se cache un malware.

Le coup de génie tient en un mot : la signature. Le fichier piégé est signé avec le véritable certificat numérique de Piriform. Windows le vérifie, affiche « éditeur vérifié : Piriform » et ne pose aucune question. Aucun antivirus ne bronche. Le poison a des papiers en règle.

Pendant un mois, la version infectée est distribuée par les canaux officiels, téléchargée, installée et mise à jour automatiquement, 2 270 000 fois. Sur chaque machine, le malware dresse discrètement une fiche d’identité, nom de l’ordinateur, logiciels installés, adresses réseau, et la transmet à un serveur de commande et de contrôle. Puis il efface ses traces et patiente.

Deux millions de victimes qui n’intéressaient personne

Et là, l’histoire bascule. Les deux millions de victimes n’intéressaient pas les attaquants. Le malware installé sur tous ces PC n’était qu’un immense filet de pêche : il ramenait tout le monde, mais les pirates ne cherchaient que quelques poissons précis.

Le serveur de commande lisait les noms de domaine des machines infectées et attendait de voir apparaître certaines entreprises : Cisco, Microsoft, Google, Intel, Samsung, Sony, VMware, Vodafone. Sur ces machines-là, et sur elles seules, une seconde charge était livrée.

Soit 0,0018 % des victimes. Ce n’était pas une opération criminelle, mais de l’espionnage industriel, dont l’objectif était de voler les secrets, brevets et codes sources des géants de la technologie. Les analystes de Cisco Talos résumeront l’opération ainsi : « un acteur extrêmement ciblé, en quête de propriété intellectuelle de valeur ». Si votre PC personnel a été infecté, vous n’étiez pas la cible. Vous étiez la porte d’entrée vers votre employeur.

Chronologie de la détection et de la réponse

L’attaque aurait pu rester invisible pendant des mois. Elle a été trahie par une anomalie.

Un rebondissement complique l’enquête : quelques jours plus tôt, le serveur des attaquants avait effacé sa base de données, faute d’espace disque. Les enquêteurs ne voient d’abord qu’une fenêtre de trois jours et une vingtaine de machines. Puis une sauvegarde est retrouvée, et l’ampleur réelle apparaît : plus de 1,6 million de machines.

Minimiser, puis reconnaître

Face à la panique, la première réaction d’Avast est de minimiser : « résolu en 72 heures, aucun préjudice connu, inutile de réinstaller quoi que ce soit ». Cisco Talos contredit publiquement cette position : une machine touchée par une porte dérobée signée doit être considérée comme compromise et entièrement réinstallée. Quelques jours plus tard, rattrapé par les preuves, Avast fait marche arrière et reconnaît que la charge finale a bel et bien été livrée.

Qui se cachait derrière l’attaque CCleaner ?

Dès le lendemain de la révélation, un chercheur de Kaspersky remarque que le code du malware partage des fragments avec les outils du groupe Axiom, un acteur d’espionnage lié à la Chine, actif depuis des années et soupçonné d’avoir visé Google dès 2009.

Mais les experts restent prudents : un code partagé n’est pas une preuve. L’enquête réserve d’ailleurs un paradoxe. Le serveur des attaquants était réglé sur le fuseau horaire chinois, tandis que l’analyse des horaires de connexion pointe vers l’Europe de l’Est ou l’Asie centrale. Deux indices, deux directions, aucune certitude.

CCleaner, une répétition générale

CCleaner n’était pas un cas isolé, mais l’un des premiers épisodes d’une série qui a marqué la décennie :

• La même année, un logiciel comptable ukrainien servait à déclencher NotPetya, l’une des cyberattaques les plus destructrices de l’histoire.
• En 2019, Avast lui-même était de nouveau visé, via un accès VPN oublié et dépourvu de double authentification.
• En 2020, l’affaire SolarWinds touchait jusqu’à dix-huit mille organisations.

Toujours le même principe : compromettre un éditeur de confiance pour atteindre des milliers de victimes d’un seul coup. CCleaner n’était pas une anomalie. C’était une répétition générale.

Comment se protéger d’une attaque supply chain ?

Ce qui a sauvé la situation en 2017, ce n’est pas la prévention mais la détection, et un peu de chance. Depuis, l’industrie a changé ses pratiques : sécurisation des chaînes de production, méfiance par défaut, contrôle de chaque composant et de chaque dépendance. Pour une organisation, quelques mesures concrètes réduisent fortement le risque :

1. Inventorier ses logiciels et leurs mises à jour, y compris les outils « anodins » installés sur les postes.
2. Surveiller le trafic sortant : un logiciel de nettoyage qui contacte un serveur inconnu est une anomalie détectable.
3. Segmenter le réseau pour qu’un poste compromis ne donne pas accès aux serveurs critiques.
4. Exiger de ses fournisseurs des garanties sur la sécurité de leur chaîne de build et de signature.
5. Tester régulièrement sa surface d’attaque, par des tests d’intrusion ou une surveillance continue comme Flawfence.

Questions fréquentes sur l’affaire CCleaner

Quelle version de CCleaner était infectée ?

La version 5.33.6162 de CCleaner pour Windows 32 bits, ainsi que CCleaner Cloud 1.07.3191, distribuées entre le 15 août et le 12 septembre 2017.

Combien d’ordinateurs ont été touchés par le malware CCleaner ?

Environ 2,27 millions d’installations de la version piégée ont été recensées, et plus de 1,6 million de machines ont contacté le serveur de commande. Seule une quarantaine de machines, dans une vingtaine d’entreprises technologiques, ont reçu la charge finale d’espionnage.

Que devait faire un utilisateur infecté ?

Contrairement au premier message d’Avast, Cisco Talos recommandait de considérer la machine comme compromise : restauration à partir d’une sauvegarde antérieure au 15 août 2017 ou réinstallation complète du système, puis changement des mots de passe.

Qui est responsable de l’attaque CCleaner ?

L’attribution n’est pas établie avec certitude. Des similitudes de code avec les outils du groupe Axiom, lié à la Chine, ont été relevées, mais les indices horaires pointent aussi vers l’Europe de l’Est ou l’Asie centrale. Personne n’a été condamné.

À retenir : le maillon faible, c’était un mot de passe

L’affaire CCleaner a marqué un tournant : le jour où le grand public a compris qu’une mise à jour officielle, signée et automatique pouvait devenir une arme, et que la confiance elle-même pouvait être piratée.

Mais souvenez-vous du détail du début. Tout est parti d’un simple mot de passe réutilisé sur TeamViewer. Deux ans plus tard, la seconde intrusion partira d’un VPN sans double authentification. L’attaque la plus sophistiquée de la décennie n’a pas exploité une faille dans le code. Le maillon faible n’était pas la machine, c’était l’humain.

Parce que dans cette histoire, la porte n’a pas été fracturée. On avait simplement laissé la clé sous le paillasson.

Sources

• Cisco Talos, CCleanup: A Vast Number of Machines at Risk (2017)
• Cisco Talos, CCleaner Command and Control Causes Concern (2017)
• Avast, Update to the CCleaner 5.33.6162 Security Incident (2017)
• Avast, Additional information regarding the recent CCleaner APT security incident (2017)
• Avast, New investigations in CCleaner incident point to a possible third stage (2018)
• Avast, Attackers entered the Piriform network via TeamViewer (2018)
• Avast, CCleaner fights off cyberespionage attempt (Abiss) (2019)
• Morphisec, Morphisec Discovers CCleaner Backdoor (2017)
• SecurityWeek, Backup Database Reveals Scale of CCleaner Hack
• Wired, The CCleaner Malware Fiasco Targeted at Least 18 Specific Tech Firms
• BleepingComputer, CCleaner Hack Carried Out to Target Big Tech Companies
• Intezer, Evidence Aurora Operation Still Active: Supply Chain Attack Through CCleaner
• Kaspersky Securelist, ShadowPad in corporate networks
• ESET, TeleBots are back: supply-chain attacks against Ukraine
• SecurityWeek, SolarWinds Says 18,000 Customers May Have Used Compromised Product
• Piriform, 2 Billion CCleaner Downloads Worldwide (2016)
• Avast, Avast acquires Piriform, maker of CCleaner (2017)