- Napad na CPUID je kompromitovao API za preuzimanje, a ne potpisane binarne datoteke, omogućavajući preusmjeravanje legitimnih preuzimanja CPU-Z i HWMonitor programa na zlonamjerne instalatore.
- Lanac infekcije koristio je otmicu DLL-a (CRYPTBASE.dll), izvršavanje u memoriji i naprednu C2 infrastrukturu za implementaciju STX RAT-ova s krađom akreditiva i udaljenim pristupom.
- Incident naglašava rastuću prijetnju napada na lanac snabdijevanja, gdje je meta infrastruktura za distribuciju softvera, a ne izvorni kod.
- Korisnici i organizacije moraju ojačati kontrole: provjeravati preuzimanja, ne ignorirati antivirusna upozorenja i ojačati CI/CD procese i sigurnost na API-jima i serverima.
Posljednjih mjeseci, CPUID - kompanija koja stoji iza popularnih alata poput CPU-Z-a i HWMonitora - dospjela je na naslovnice o sajber sigurnosti zbog napada na lanac snabdijevanja koji je ostavio hiljade korisnika duboko razočaranima. Zabrinjavajući aspekt nije samo sam zlonamjerni softver, već i činjenica da se sve dogodilo putem preuzimanja sa službene web stranice, iskorištavajući ogromno povjerenje koje tehnička zajednica ima u ove alate.
Ovaj incident se nadovezuje na druge nedavne slučajeve, poput kompromitovanja OpenAI-jeve macOS aplikacije putem manipulisane Axios biblioteke , i pojačava uznemirujuću spoznaju: sama provjera da li je web stranica "zvanična" ili da li je izvršna datoteka potpisana više nije dovoljna da biste se osjećali sigurno. Napadači usavršavaju svoje tehnike lanca snabdijevanja, ciljajući vezu distribucije softvera upravo tamo gdje je najpogođenija.
Šta se tačno dogodilo sa CPUID-om, CPU-Z-om i HWMonitorom?
CPUID je veteranska kompanija, osnovana krajem 90-ih, poznata po ponudi besplatnih alata za dijagnostiku i praćenje hardvera za Windows. CPU-Z pruža detaljne informacije o procesoru, memoriji i matičnoj ploči, dok se HWMonitor koristi za praćenje temperatura, napona i ventilatora. Ovi alati su sveprisutni u servisima za popravke, podatkovnim centrima, igraćim konzolama i okruženjima za testiranje.
U aprilu 2026. godine, službena web stranica kompanije je kompromitovana napadom na lanac snabdijevanja koji je utjecao na preuzimanja CPU-Z-a i HWMonitora. Ključni aspekt slučaja je da napadači nisu pristupili izvornom kodu ili potpisanim binarnim datotekama koje CPUID legitimno distribuira, već mnogo suptilnijoj komponenti: sekundarnom API-ju odgovornom za upravljanje linkovima za preuzimanje i određenim internim radnim procesima.
Između 9. i 10. aprila 2026. godine, tokom perioda od otprilike šest sati prema nekim izvorima i do 19 sati prema drugim, detaljnijim analizama, ovaj bočni API je počeo preusmjeravati legitimne zahtjeve za preuzimanje na infrastrukturu koju kontroliraju napadači. Korisnik bi posjetio cpuid.com, kliknuo na službeno dugme za preuzimanje i, na prvi pogled, sve bi izgledalo normalno.
Tokom tog vremena, nekoliko korisnika je primijetilo čudno ponašanje: instalere s neobičnim nazivima, poput „HWiNFO_Monitor_Setup.exe“ umjesto tipičnog hwmonitor_*.exe, i antivirusna upozorenja koja su mnogi ljudi, nažalost, ignorisali, misleći da su lažno pozitivni. Tada je istina počela izlaziti na vidjelo.
Procjene ukazuju na to da bi potencijalno ogroman broj korisnika mogao biti izložen , jer CPU-Z i HWMonitor nisu nišni programi: akumulirali su desetine miliona historijskih preuzimanja i svakodnevno ih koriste tehničari, sistem administratori, overklokeri i IT stručnjaci. Prozor napada od samo nekoliko sati, raspoređen po različitim globalnim vremenskim zonama, dovoljan je da generira ozbiljan udar.
Lanci snabdijevanja: zašto je ovaj napad toliko opasan
Ono što slučaj CPUID-a čini posebno problematičnim jeste to što se radilo o hirurškom napadu na lanac distribucije softvera , a ne na originalne binarne datoteke. Drugim riječima, problem nije bio u repozitoriju koda ili potpisanim izvršnim datotekama, već u infrastrukturi koja odlučuje koja se datoteka dostavlja svakom korisniku.
Ovaj obrazac se poklapa sa jasnim trendom posljednjih godina: napadi na lanac snabdijevanja softverom , gdje napadač ne pokušava direktno kompromitovati svaki uređaj krajnjeg korisnika, već zajedničku vezu koja isporučuje softver hiljadama ili milionima mašina. Slučajevi poput SolarWinds i Codecov već su pokazali koliko razorno može biti manipulisanje jednom komponentom duž puta distribucije.
Napadači obično iskorištavaju sigurnosne ranjivosti u API-jima, web serverima ili CI/CD tokovima kako bi ubacili zlonamjerne linkove, manipulirane biblioteke ili trojanizirane korisne sadržaje. CPUID je identificirao "bočnu funkciju" ili "bočni API" kao ulaznu tačku, a ne centralno spremište ili sistem potpisivanja. Ovaj API bi omogućio napadačima da promijene odredište linkova za preuzimanje bez da korisnik primijeti išta sumnjivo u svom pregledniku.
Sličan incident se nedavno dogodio s OpenAI-jem, kada je GitHub Actions workflow koji je potpisao macOS aplikaciju preuzeo zlonamjernu verziju Axios biblioteke 31. marta. U tom slučaju, OpenAI je morao opozvati certifikat macOS aplikacije kao preventivnu mjeru, uprkos uvjeravanju korisnika da nisu kompromitovani nikakvi korisnički podaci ili interni sistemi. Ovo je još jedan primjer kako jedna slaba karika u automatizovanom procesu može kontaminirati cijeli lanac.
Sa tehničke tačke gledišta, ovi upadi obično iskorištavaju ranjivosti kao što su slabi akreditivi, API-ji bez robusne autentifikacije, zastarjeli serveri ili nedostatak praćenja kritičnih sistema. Još više zabrinjava to što često ostaju neotkriveni satima ili danima dok zajednica ili sigurnosni alati ne počnu masovno identificirati anomalno ponašanje.
Kako je zlonamjerni softver distribuiran u slučaju CPUID-a
U incidentu CPUID, prema raznim javnim analizama, uočene su dvije blisko povezane varijante lanca napada. U najdokumentovanijim slučajevima, napadači su u istom instalacijskom direktoriju posluživali legitimni binarni fajl CPU-Z zajedno sa zlonamjernim DLL-om .
Taj DLL, identificiran kao CRYPTBASE.dll (isto ime kao i legitimna Windows biblioteka), kompajliran je u Zigu i iskoristio je redoslijed pretrage Windows DLL-ova: budući da se nalazio u istom direktoriju kao i legitimna izvršna datoteka CPU-Z-a, sistem je prvo učitavao zlonamjernu verziju umjesto originala iz C:\Windows\System32. Ovo je klasičan slučaj otmice DLL-ova.
Nakon što je lažni DLL učitan, pokrenut je prilično sofisticirani lanac napada. Zlonamjerni teret je izvršio drugi , šifrirani DLL direktno u memoriji koristeći tehnike reflektivnog ubrizgavanja, što je izbjeglo pisanje na disk i ostavilo vrlo malo tragova za kasniju analizu. Ovo ponašanje je navelo neke napredne sigurnosne agente da odmah označe aktivnost kao "otkriven penetracijski okvir ili shellcode".
Odatle je komunikacija sa komandnim i kontrolnim (C2) serverom uspostavljena putem DNS-over-HTTPS do 1.1.1.1 , trika osmišljenog da zaobiđe mnoge tradicionalne DNS sisteme za praćenje. Nadalje, lanac je uključivao kreiranje procesa kao što je pokretanje csc.exe i cvtres.exe od strane PowerShella, nešto potpuno neuobičajeno za alat poput CPU-Z-a.
Kako bi osigurao da infekcija preživi ponovna pokretanja i pokušaje djelomičnog čišćenja, zlonamjerni softver je implementirao do tri redundantna mehanizma perzistencije : ključ Run u Windows registru, planirani zadatak koji se pokreće svakih 68 minuta i traje do 20 godina, te MSBuild datoteke projekta skrivene u AppData\Local. Ovaj pristup čini iskorjenjivanje izuzetno teškim ako ne znate tačno šta tražiti.
Konačni korisni teret identificiran je kao STX RAT , trojanac za udaljeni pristup sa skrivenim VNC mogućnostima, ubrizgavanjem tastature i miša, krađom vjerodajnica iz više preglednika (Chrome, Firefox, Edge, Brave), ekstrakcijom podataka iz Windows Vaulta i pristupom kriptovalutnim novčanicima. Nije se radilo samo o običnom adwareu, već o backdooru sa širokim rasponom mogućnosti špijunaže i kontrole.
Šta je zlonamjerni softver tražio: vjerodajnice, daljinsko upravljanje i još mnogo toga
Cijeli dizajn napada jasno pokazuje da je primarni cilj bio tiha krađa osjetljivih informacija i trajan udaljeni pristup , a ne neposredna šteta za korisnika (kao što bi to, na primjer, učinio ransomware). Ova razlika je ključna, jer otežava otkrivanje napada i potencijalno ga čini profitabilnijim za napadače.
Među mogućnostima povezanim sa STX RAT-om i korisnim opterećenjima viđenim tokom incidenta, ističe se nekoliko funkcija tipičnih za infostealere i napredne RAT-ove : izdvajanje lozinki i kolačića pohranjenih u preglednicima, pristup aktivnim sesijama (e-pošta, online bankarstvo, digitalne trgovine), prikupljanje sistemskih informacija i moguća eskalacija privilegija u okruženjima gdje je korisnik imao visoka dopuštenja.
Neki izvještaji također spominju raspoređivanje dodatnih korisnih podataka u .NET-u i korištenje PowerShella u memoriji za preuzimanje više modula sa udaljenih servera, što je uobičajena praksa u kampanjama koje teže modularnosti : instalira se relativno lagan prvi implantat i, nakon što napadač potvrdi da je mašina od interesa, preuzimaju se dodatne komponente za eksfiltraciju određenih podataka ili lateralno kretanje kroz mrežu.
Izbor CPU-Z-a i HWMonitora kao vektora nije slučajan. Tipičan profil nekoga ko instalira ove alate uveliko je naklonjen IT profesionalcima, sistem administratorima i osobama s privilegovanim pristupom korporativnim mrežama. Kompromitovanje jednog sistem administratora s pravima domene može imati radikalno veći utjecaj nego zaraza kućnog korisnika bez privilegija.
Stoga, iako se broj potvrđenih direktnih žrtava može činiti relativno niskim (oko stotinu dobro dokumentiranih slučajeva, prema nekim EDR provajderima), potencijal za štetu u poslovnim i kritičnim infrastrukturnim okruženjima bio je visok. Sve što je potrebno je da jedan od ovih tehničara ima pristup serverima, cloud panelima ili mrežnim uređajima kako bi otvorio vrlo opasna vrata.
Kako znati da li ste možda bili pogođeni
Ako ste preuzeli CPU-Z ili HWMonitor sa službene web stranice CPUID-a oko 9. i 10. aprila 2026. godine, trebali biste brzo provjeriti svoja preuzimanja i sisteme , samo da biste isključili ovu mogućnost. Nema potrebe za panikom, ali vrijedi provjeriti nekoliko ključnih tačaka.
Prvo što treba provjeriti je naziv datoteke koju ste preuzeli . Ako je vaš HWMonitor instalacijski program imao čudno ime, kao što je "HWiNFO_Monitor_Setup.exe" ili bilo koja druga varijanta koja ne odgovara uobičajenom obrascu hwmonitor_*.exe, to je veliki znak za uzbunu. Mnogi korisnici su komentirali upravo ove nedosljednosti u nazivima na forumima i društvenim mrežama.
Drugo, trebali biste provjeriti zapise antivirusnog programa za te datume. Ako je Windows Defender, Malwarebytes, Kaspersky ili neko drugo sigurnosno rješenje izdalo upozorenje tokom preuzimanja ili instalacije, a vi ste ga ignorisali, sada je vrijeme da preuzmete tu historiju i vidite tačno šta je otkriveno. Upozorenja s terminima poput "sumnjivo", "zlonamjerni softver" ili "nepoželjno korištenje" zahtijevaju detaljnije ispitivanje.
Također je vrijedno provjeriti historiju preuzimanja vašeg preglednika kako biste pronašli sve izvršne datoteke sa cpuid.com tokom tog vremena. Ako pronađete nešto sumnjivo, sačuvajte kopiju datoteke za analizu (na primjer, kasnijim uploadom na VirusTotal) i izbjegavajte ponovno pokretanje ni pod kojim okolnostima.
Ako ste više tehnički potkovani i imate razumne sumnje da bi vaš sistem mogao biti kompromitovan, jedna od opcija je pokretanje sistema sa čiste Linux slike na USB disku i skeniranje Windows diska izvana . Ovo nije nešto što većini korisnika treba, ali u kritičnim okruženjima može pomoći u lociranju datoteka poput CRYPTBASE.dll izvan System32, neobičnih planiranih zadataka ili artefakata u AppData.
Preporučeni koraci ako ste preuzeli datoteku na kompromitovani prozor
Ako prilikom provjere datuma i naziva datoteka vidite da ste preuzeli CPU-Z ili HWMonitor tačno između 9. i 10. aprila 2026. godine, razumno je pretpostaviti da postoji barem razumna mogućnost izloženosti i djelovati u skladu s tim, čak i ako analiza kasnije pokaže da nije bilo stvarne infekcije.
Prvi korak je deinstalacija pogođenih verzija iz Kontrolne ploče Windowsa ili Postavki. Nema smisla čuvati programe kojima ne vjerujete dok istražujete. Nakon deinstalacije, također je dobra ideja očistiti sve preostale mape u Program Files i AppData, pazeći da ne izbrišete ništa u što niste sigurni.
Zatim pokrenite potpuno (ne brzo) antivirusno skeniranje vašeg sistema. Moderna sigurnosna rješenja, posebno ona s detekcijom ponašanja, mogu pronaći tragove ove vrste zlonamjernog softvera čak i ako se dio sadržaja nalazio samo u memoriji. Ako je moguće, koristite kombinaciju ažuriranog Windows Defendera i dodatnog alata poput Malwarebytes-a za drugo mišljenje.
Istovremeno, trebali biste pretpostaviti da bi svi podaci za prijavu pohranjeni u pregledniku tokom tog perioda mogli biti kompromitovani. To znači da je preporučljivo promijeniti lozinke za e-poštu, online bankarstvo, usluge u oblaku i sve kritične platforme kojima se pristupa putem Chromea, Firefoxa, Edgea ili Bravea. Učinite to nakon skeniranja i čišćenja sistema, a ne prije.
Također je dobra ideja pregledati historiju sumnjivih aktivnosti na vašim glavnim računima (na primjer, Gmail, Amazon, Dropbox ili kontrolna ploča vaše banke) kako biste vidjeli je li bilo prijava s neobičnih lokacija ili uređaja. A ako ste spremali podatke o kartici u svom pregledniku, ima smisla obavijestiti svoju banku kako bi mogli pratiti bilo kakve neobične aktivnosti ili, u ekstremnim slučajevima, zatražiti zamjenu kartice.
Odgovor CPUID-a i trenutni status vaših preuzimanja
Nakon što je incident izašao na vidjelo, CPUID je objavio saopštenja u kojima objašnjava da je napad uticao na sekundarnu funkciju njihove infrastrukture - dobro poznati bočni API - i da potpisane binarne datoteke i repozitorije koda nisu bili kompromitovani. Naveli su da su identifikovali i zakrpili ranjivost u kompromitovanom API-ju i vratili normalan rad platforme za preuzimanje.
Prema dostupnim informacijama, trenutni izvršni fajlovi CPU-Z i HWMonitor su ponovo ispravno potpisani i poslužuju se iz čiste infrastrukture . Od danas, preuzimanje ovih alata sa službene web stranice, sada kada je problem riješen, smatra se sigurnim, pod uslovom da se pridržavate uobičajenih mjera opreza za bilo koji softver preuzet s interneta.
Uprkos tome, incident ostavlja razuman stepen nepovjerenja. Mnoge organizacije se pitaju da li ima smisla nastaviti s implementacijom uslužnih programa trećih strana poput CPUID-a na produkcijskim serverima ili u izuzetno osjetljivim okruženjima . U nekim slučajevima se odlučuju za dobro provjerene alternative otvorenog koda (kao što su lm-sensors na Linuxu ili OpenHardwareMonitor) ili za izvorne alate od dobavljača cloud i hardvera.
Sa svoje strane, CPUID će morati raditi na obnovi povjerenja zajednice , ne samo rješavanjem konkretnog incidenta, već i demonstracijom da su ojačali svoju internu sigurnost: redovne revizije, strože kontrole pristupa, praćenje anomalija pri preuzimanju i objavljivanje provjerljivih heševa za svaku verziju, između ostalog.
Općenito, ove vrste napada tjeraju industriju da usvoji prakse poput SBOM-a (softverski popis materijala) , koji zahtijeva dokumentaciju svih komponenti u softveru, i modela arhitekture nultog povjerenja, gdje se interni kod ne smatra pouzdanim ako ne prođe kontinuirane kontrole.
Ključne lekcije za korisnike i industriju
Incident sa CPUID-om je neugodan podsjetnik da slijepo vjerovanje službenoj web stranici više nije dovoljno . Napadači su shvatili da slaba karika često nije korisnik koji klikne na link, već distribucijska infrastruktura za koju svi pretpostavljamo da je sigurna.
Za krajnje korisnike postoji nekoliko ključnih stvari. Prvo: nemojte ignorirati upozorenja antivirusnog programa samo zato što datoteka dolazi s poznate web stranice. Moderne detekcije oslanjaju se na ponašanje i globalnu reputaciju; ako se upozorenje pojavi kada preuzmete nešto s cpuid.com na određeni datum, to bi vrlo lako mogao biti znak da se nešto neobično događa na pozadini provajdera.
Drugo: obratite pažnju na očigledne detalje poput naziva izvršne datoteke . Instalacijski program pod nazivom HWiNFO_Monitor_Setup.exe kada ste očekivali HWMonitor trebao bi odmah izazvati sumnju. Potrebne su dvije sekunde pažnje da bi se spriječila ozbiljna infekcija.
Za softverske kompanije, ovakve vrste incidenata pojačavaju potrebu za jačanjem CI/CD procesa, pristupa serverima za preuzimanje i pomoćnih API-ja. Alati za skeniranje zavisnosti poput Semgrepa ili drugih SCA sistema , Sigma pravila primijenjena na CI/CD logove i statička/dinamička analiza prije potpisivanja binarnih datoteka više nisu "lijepo imati": oni su neophodni.
Konačno, zajednica za sajber sigurnost teži ka sofisticiranijim rješenjima: upotrebi robusnih kriptografskih biblioteka kako bi se osigurao integritet i autentičnost u procesu potpisivanja, EDR-u u memoriji sposobnom za prekidanje lanaca napada poput onih viđenih u CPU-Z-u i kulturi u kojoj se svaka anomalija u masovnim preuzimanjima odmah istražuje , umjesto da se odbacuje kao izolovana greška.
Sve što se dogodilo s napadom na lanac snabdijevanja CPUID-om jasno pokazuje da je strategija kompromitiranja distribucije, a ne direktnog izvornog koda, tu da ostane. Korisnici i organizacije moraju podići ljestvicu za svoju digitalnu higijenu: provjeravati hešove kad god je to moguće, obraćati pažnju na nazive datoteka i certifikate, ostati oprezni kada vide logo koji im se čini poznatim i, prije svega, brzo reagovati na svaku sumnju kako jednokratni incident ne bi postao dugoročni problem.