CPUID-Lieferkettenangriff: Was geschah und was bedeutet es?

Informatec Digital » Ressourcen » CPUID-Lieferkettenangriff: Was geschah und was bedeutet es?

In den letzten Monaten sorgte CPUID – das Unternehmen hinter beliebten Tools wie CPU-Z und HWMonitor – aufgrund eines Lieferkettenangriffs für Schlagzeilen im Bereich Cybersicherheit . Tausende Nutzer waren zutiefst enttäuscht. Besorgniserregend ist dabei nicht nur die Schadsoftware selbst, sondern vor allem die Tatsache, dass sie über Downloads von der offiziellen Website verbreitet wurde und somit das enorme Vertrauen der IT-Community in diese Tools ausgenutzt wurde.

Dieser Vorfall reiht sich in andere jüngste Fälle ein, wie etwa die Kompromittierung der macOS-App von OpenAI durch eine manipulierte Axios-Bibliothek , und verdeutlicht eine beunruhigende Erkenntnis: Die bloße Überprüfung, ob eine Website „die offizielle“ ist oder die ausführbare Datei signiert ist, reicht nicht mehr aus, um sich sicher zu fühlen. Angreifer verfeinern ihre Methoden in der Lieferkette und zielen genau dort auf die Softwareverteilung ab, wo es am meisten schmerzt.

Was genau ist mit CPUID, CPU-Z und HWMonitor passiert?

CPUID ist ein etabliertes Unternehmen, das Ende der 90er-Jahre gegründet wurde und für seine kostenlosen Hardware-Diagnose- und Überwachungsprogramme für Windows bekannt ist. CPU-Z liefert detaillierte Informationen zu Prozessor, Arbeitsspeicher und Mainboard, während HWMonitor zur Überwachung von Temperaturen, Spannungen und Lüftern dient. Diese Tools sind in Reparaturwerkstätten, Rechenzentren, Gaming-PCs und Testumgebungen weit verbreitet.

Im April 2026 wurde die offizielle Website des Unternehmens Opfer eines Lieferkettenangriffs , der die Downloads von CPU-Z und HWMonitor beeinträchtigte. Entscheidend ist, dass die Angreifer nicht auf den Quellcode oder die signierten Binärdateien zugriffen, die CPUID rechtmäßig vertreibt, sondern auf eine deutlich subtilere Komponente: eine sekundäre API, die für die Verwaltung von Download-Links und bestimmten internen Arbeitsabläufen zuständig ist.

Zwischen dem 9. und 10. April 2026, in einem Zeitfenster von etwa sechs Stunden (einigen Quellen zufolge) bzw. bis zu 19 Stunden (anderen, detaillierteren Analysen zufolge), begann diese Seitenleisten-API, legitime Download-Anfragen auf die von den Angreifern kontrollierte Infrastruktur umzuleiten. Der Nutzer besuchte cpuid.com, klickte auf den offiziellen Download-Button, und auf den ersten Blick schien alles normal.

Während dieser Zeit bemerkten mehrere Nutzer merkwürdiges Verhalten: Installationsprogramme mit ungewöhnlichen Namen, wie beispielsweise „HWiNFO_Monitor_Setup.exe“ anstelle der üblichen hwmonitor_*.exe, und Antivirenwarnungen, die viele leider ignorierten, da sie diese für Fehlalarme hielten. Erst dann kam die Wahrheit ans Licht.

Schätzungen zufolge könnte eine enorme Anzahl von Nutzern betroffen sein , da CPU-Z und HWMonitor keine Nischenprogramme sind: Sie wurden millionenfach heruntergeladen und werden täglich von Technikern, Systemadministratoren, Übertaktern und IT-Fachleuten genutzt. Ein Angriffsfenster von nur wenigen Stunden, das sich über verschiedene Zeitzonen erstreckt, reicht aus, um gravierende Auswirkungen zu haben.

Lieferketten: Warum dieser Angriff so gefährlich ist

Besonders beunruhigend am Fall CPUID ist, dass es sich um einen gezielten Angriff auf die Softwareverteilungskette handelte , nicht auf die ursprünglichen Binärdateien. Anders ausgedrückt: Das Problem lag nicht im Code-Repository oder den signierten ausführbaren Dateien, sondern in der Infrastruktur, die entscheidet, welche Datei an welchen Benutzer ausgeliefert wird.

Dieses Muster deckt sich mit einem klaren Trend der letzten Jahre: Angriffe auf die Software-Lieferkette . Dabei versucht der Angreifer nicht, jedes einzelne Endgerät direkt zu kompromittieren, sondern vielmehr die zentrale Schnittstelle, die die Software an Tausende oder Millionen von Rechnern ausliefert. Fälle wie SolarWinds und Codecov haben bereits gezeigt, wie verheerend die Manipulation einer einzelnen Komponente entlang des Vertriebswegs sein kann.

Angreifer nutzen typischerweise Sicherheitslücken in APIs, Webservern oder CI/CD-Prozessen aus, um schädliche Links, manipulierte Bibliotheken oder Trojaner einzuschleusen. CPUID identifizierte eine „Seitenfunktion“ oder „Seiten-API“ als Einstiegspunkt, nicht das zentrale Repository oder das Signatursystem. Diese API hätte es Angreifern ermöglicht, das Ziel von Download-Links zu ändern, ohne dass der Benutzer etwas Verdächtiges in seinem Browser bemerkt hätte.

Ein ähnlicher Vorfall ereignete sich kürzlich bei OpenAI, als ein GitHub-Actions-Workflow , der die macOS-App signierte, am 31. März eine schädliche Version der Axios-Bibliothek herunterlud. In diesem Fall musste OpenAI das Zertifikat der macOS-App vorsorglich widerrufen, obwohl den Nutzern versichert wurde, dass keine Nutzerdaten oder internen Systeme kompromittiert worden seien. Dies ist ein weiteres Beispiel dafür, wie ein einziges schwaches Glied in einem automatisierten Prozess die gesamte Kette gefährden kann.

Aus technischer Sicht nutzen diese Angriffe typischerweise Schwachstellen wie schwache Zugangsdaten, APIs ohne robuste Authentifizierung, veraltete Server oder mangelnde Überwachung kritischer Systeme aus. Noch besorgniserregender ist, dass sie oft stunden- oder tagelang unentdeckt bleiben, bis die Community oder Sicherheitstools massenhaft verdächtiges Verhalten feststellen.

Wie die Malware im CPUID-Fall verbreitet wurde

Im Fall des CPUID-Vorfalls wurden laut verschiedenen öffentlichen Analysen zwei eng verwandte Angriffskettenvarianten beobachtet. In den am besten dokumentierten Fällen lieferten die Angreifer eine legitime CPU-Z-Binärdatei zusammen mit einer schädlichen DLL im selben Installationsverzeichnis aus.

Die als CRYPTBASE.dll identifizierte DLL (derselbe Name wie eine legitime Windows-Bibliothek) wurde in Zig kompiliert und nutzte die Suchreihenfolge von Windows-DLLs aus: Da sie sich im selben Verzeichnis wie die legitime CPU-Z-Datei befand, lud das System zuerst die manipulierte Version anstatt des Originals aus C:\Windows\System32. Dies ist ein klassischer Fall von DLL-Hijacking.

Nach dem Laden der gefälschten DLL wurde eine ausgeklügelte Angriffskette gestartet. Die Schadsoftware führte eine zweite, verschlüsselte DLL direkt im Speicher mittels reflektierender Injektion aus. Dadurch wurden Schreibvorgänge auf der Festplatte vermieden und nur sehr wenige Spuren für die spätere Analyse hinterlassen. Dieses Verhalten veranlasste einige fortschrittliche Sicherheitssoftware-Anbieter, die Aktivität sofort als „Penetrationstest oder Shellcode erkannt“ zu kennzeichnen.

Von dort aus wurde die Kommunikation mit dem Command-and-Control-Server (C2) über DNS-over-HTTPS an die Adresse 1.1.1.1 hergestellt – ein Trick, der viele herkömmliche DNS-Überwachungssysteme umgehen soll. Darüber hinaus umfasste die Kette die Erstellung von Prozessen wie beispielsweise PowerShell, die csc.exe und cvtres.exe starteten – ein für ein Tool wie CPU-Z völlig ungewöhnliches Vorgehen.

Um sicherzustellen, dass die Infektion Neustarts und unvollständige Bereinigungsversuche übersteht, nutzte die Malware bis zu drei redundante Persistenzmechanismen : einen Run-Schlüssel in der Windows-Registrierung, einen alle 68 Minuten ausgeführten und bis zu 20 Jahre lang laufenden geplanten Task sowie in AppData\Local versteckte MSBuild-Projektdateien. Diese Vorgehensweise macht die Entfernung extrem schwierig, wenn man nicht genau weiß, wonach man suchen muss.

Die finale Schadsoftware wurde als STX RAT identifiziert , ein Remote-Access-Trojaner mit versteckten VNC-Funktionen, der Tastatur- und Mausmanipulation, dem Diebstahl von Anmeldedaten aus verschiedenen Browsern (Chrome, Firefox, Edge, Brave), der Extraktion von Windows-Vault-Daten und dem Zugriff auf Kryptowährungs-Wallets. Es handelte sich nicht nur um einfache Adware, sondern um eine Hintertür mit vielfältigen Spionage- und Kontrollmöglichkeiten.

Wonach die Schadsoftware suchte: Anmeldeinformationen, Fernsteuerung und mehr.

Die gesamte Angriffsstrategie verdeutlicht, dass das Hauptziel der unbemerkte Diebstahl sensibler Daten und der dauerhafte Fernzugriff war , nicht die unmittelbare Schädigung des Nutzers (wie es beispielsweise Ransomware tun würde). Diese Unterscheidung ist entscheidend, da sie den Angriff schwerer erkennbar und potenziell lukrativer für die Angreifer macht.

Unter den Fähigkeiten, die mit STX RAT und den während des Vorfalls beobachteten Payloads in Verbindung gebracht werden, stechen mehrere für Infostealer und fortgeschrittene RATs typische Funktionen hervor : das Auslesen von Passwörtern und in Browsern gespeicherten Cookies, der Zugriff auf aktive Sitzungen (E-Mail, Online-Banking, digitale Shops), das Sammeln von Systeminformationen und die mögliche Eskalation von Berechtigungen in Umgebungen, in denen der Benutzer über hohe Berechtigungen verfügte.

Einige Berichte erwähnen auch den Einsatz zusätzlicher Payloads in .NET und die Verwendung von In-Memory-PowerShell, um weitere Module von entfernten Servern herunterzuladen. Dies ist eine gängige Praxis bei Kampagnen, die auf Modularität abzielen : Zunächst wird ein relativ leichtes Implantat installiert, und sobald der Angreifer bestätigt hat, dass der Rechner von Interesse ist, werden zusätzliche Komponenten heruntergeladen, um bestimmte Daten zu exfiltrieren oder sich lateral im Netzwerk zu bewegen.

Die Wahl von CPU-Z und HWMonitor als Einfallstoren ist kein Zufall. Das typische Profil derjenigen, die diese Tools installieren, besteht überwiegend aus IT-Fachleuten, Systemadministratoren und Personen mit privilegiertem Zugriff auf Unternehmensnetzwerke. Die Kompromittierung eines einzelnen Systemadministrators mit Domänenrechten kann weitaus größere Auswirkungen haben als die Infektion eines Heimanwenders ohne entsprechende Berechtigungen.

Obwohl die Zahl der bestätigten direkten Opfer relativ gering erscheinen mag (etwa hundert gut dokumentierte Fälle laut einigen EDR-Anbietern), war das Schadenspotenzial in Unternehmens- und kritischen Infrastrukturen hoch. Es genügt, wenn einer dieser Techniker über die Zugangsdaten für Server, Cloud-Systeme oder Netzwerkgeräte verfügt, um eine äußerst gefährliche Sicherheitslücke aufzureißen.

Wie Sie feststellen können, ob Sie betroffen sein könnten

Falls Sie CPU-Z oder HWMonitor um den 9./10. April 2026 von der offiziellen CPUID-Website heruntergeladen haben, sollten Sie Ihre Downloads und Systeme kurz überprüfen , um diese Fehlerquelle auszuschließen. Es besteht kein Grund zur Panik, aber es lohnt sich, einige wichtige Punkte zu überprüfen.

Als Erstes sollten Sie den Namen der heruntergeladenen Datei überprüfen . Wenn Ihr HWMonitor-Installationsprogramm einen ungewöhnlichen Namen hat, beispielsweise „HWiNFO_Monitor_Setup.exe“ oder eine andere Variante, die nicht dem üblichen Muster hwmonitor_*.exe entspricht, ist das ein deutliches Warnsignal. Viele Nutzer haben genau diese Namensabweichungen in Foren und sozialen Medien gemeldet.

Zweitens sollten Sie Ihre Antivirenprotokolle für diese Zeiträume überprüfen. Falls Windows Defender, Malwarebytes, Kaspersky oder eine andere Sicherheitslösung während des Downloads oder der Installation eine Warnung ausgegeben hat und Sie diese ignoriert haben, ist es jetzt an der Zeit, den Verlauf abzurufen und genau zu prüfen, was erkannt wurde. Warnungen mit Begriffen wie „verdächtig“, „Malware“ oder „potenziell unerwünschte Anwendung“ (PUA) erfordern eine genauere Untersuchung.

Es empfiehlt sich außerdem, den Downloadverlauf Ihres Browsers zu überprüfen , um nach ausführbaren Dateien von cpuid.com aus diesem Zeitraum zu suchen. Sollten Sie etwas Verdächtiges finden, speichern Sie eine Kopie der Datei zur Analyse (z. B. durch späteres Hochladen auf VirusTotal) und führen Sie sie unter keinen Umständen erneut aus.

Wenn Sie technisch versiert sind und begründete Zweifel an der Sicherheit Ihres Systems haben, können Sie von einem sauberen Linux-Image auf einem USB-Stick booten und die Windows-Festplatte von außerhalb scannen . Dies ist für die meisten Benutzer nicht notwendig, kann aber in kritischen Umgebungen helfen, Dateien wie CRYPTBASE.dll außerhalb von System32, ungewöhnliche geplante Aufgaben oder Artefakte im AppData-Verzeichnis zu finden.

Empfohlene Schritte, falls Sie auf das kompromittierte Fenster heruntergeladen haben

Wenn Sie beim Überprüfen von Datum und Dateinamen feststellen, dass Sie CPU-Z oder HWMonitor genau zwischen dem 9. und 10. April 2026 heruntergeladen haben, ist es ratsam, von einer zumindest begründeten Möglichkeit einer Infektion auszugehen und entsprechend zu handeln, selbst wenn die Analyse später ergibt, dass keine tatsächliche Infektion vorlag.

Der erste Schritt besteht darin, die betroffenen Versionen über die Windows-Systemsteuerung oder die Einstellungen zu deinstallieren . Es macht keinen Sinn, Programme, denen Sie nicht vertrauen, während der Untersuchung beizubehalten. Nach der Deinstallation empfiehlt es sich außerdem, alle verbliebenen Ordner in den Verzeichnissen „Programme“ und „AppData“ zu bereinigen. Achten Sie dabei darauf, keine Dateien zu löschen, bei denen Sie sich unsicher sind.

Führen Sie anschließend einen vollständigen (nicht nur schnellen) Virenscan Ihres Systems durch. Moderne Sicherheitslösungen, insbesondere solche mit Verhaltenserkennung, können Spuren dieser Art von Malware selbst dann finden, wenn sich ein Teil der Schadsoftware nur im Arbeitsspeicher befindet. Verwenden Sie nach Möglichkeit eine Kombination aus einem aktualisierten Windows Defender und einem zusätzlichen Tool wie Malwarebytes, um eine zweite Meinung einzuholen.

Gleichzeitig sollten Sie davon ausgehen, dass alle während dieses Zeitraums im Browser gespeicherten Zugangsdaten gefährdet sein könnten. Daher ist es ratsam, Passwörter für E-Mail, Online-Banking, Cloud-Dienste und alle wichtigen Plattformen, auf die Sie über Chrome, Firefox, Edge oder Brave zugreifen, zu ändern. Tun Sie dies erst nach dem Scannen und Bereinigen Ihres Systems, nicht vorher.

Es empfiehlt sich außerdem, den Verlauf verdächtiger Aktivitäten Ihrer Hauptkonten (z. B. Gmail, Amazon, Dropbox oder Ihres Bankkontos) zu überprüfen, um festzustellen, ob Anmeldungen von ungewöhnlichen Standorten oder Geräten erfolgten. Sollten Sie Kartendaten in Ihrem Browser gespeichert haben, benachrichtigen Sie Ihre Bank, damit diese auf verdächtige Aktivitäten achten oder im Extremfall einen Kartenaustausch veranlassen kann.

CPUID-Antwort und aktueller Status Ihrer Downloads

Nachdem der Vorfall bekannt wurde, veröffentlichte CPUID Stellungnahmen, in denen sie erklärten, dass der Angriff eine sekundäre Funktion ihrer Infrastruktur – die bekannte Side-API – beeinträchtigt hatte und dass die signierten Binärdateien und Code-Repositories nicht kompromittiert worden seien. Sie gaben an, die Schwachstelle in der kompromittierten API identifiziert und behoben zu haben und den normalen Betrieb der Download-Plattform wiederhergestellt zu haben.

Den vorliegenden Informationen zufolge sind die aktuellen CPU-Z- und HWMonitor-Programmdateien wieder ordnungsgemäß signiert und werden über die saubere Infrastruktur bereitgestellt . Ab heute gilt das Herunterladen dieser Tools von der offiziellen Website, da das Problem behoben wurde, als sicher, sofern Sie die üblichen Vorsichtsmaßnahmen für Software aus dem Internet beachten.

Dennoch hinterlässt der Vorfall ein gewisses Misstrauen. Viele Organisationen hinterfragen, ob der Einsatz von Drittanbieter-Tools wie CPUID auf Produktionsservern oder in hochsensiblen Umgebungen weiterhin sinnvoll ist . Teilweise entscheiden sie sich für geprüfte Open-Source-Alternativen (wie lm-sensors unter Linux oder OpenHardwareMonitor) oder für native Tools von Cloud- und Hardwareanbietern.

CPUID muss seinerseits daran arbeiten, das Vertrauen der Community wiederherzustellen , nicht nur durch die Aufklärung des konkreten Vorfalls, sondern auch durch den Nachweis, dass die interne Sicherheit verstärkt wurde: regelmäßige Audits, strengere Zugriffskontrollen, Überwachung auf Download-Anomalien und die Veröffentlichung überprüfbarer Hashwerte für jede Version, neben anderen Maßnahmen.

Generell drängen diese Angriffe die Branche dazu, Praktiken wie SBOMs (Software Bill of Materials) , die eine Dokumentation aller Komponenten einer Software erfordern, und Zero-Trust-Architekturmodelle einzuführen, bei denen interner Code nicht einmal als vertrauenswürdig gilt, wenn er keine kontinuierlichen Kontrollen besteht.

Wichtige Erkenntnisse für Anwender und die Branche

Der CPUID-Vorfall ist eine unangenehme Erinnerung daran, dass blindes Vertrauen in die offizielle Website nicht mehr ausreicht . Angreifer haben erkannt, dass die Schwachstelle oft nicht der Nutzer ist, der auf den Link klickt, sondern die Vertriebsinfrastruktur, die wir alle für sicher halten.

Für Endnutzer ergeben sich daraus einige wichtige Erkenntnisse. Erstens: Ignorieren Sie Virenwarnungen nicht, nur weil die Datei von einer bekannten Website stammt. Moderne Virenerkennungssysteme basieren auf Nutzerverhalten und globaler Reputation. Erscheint beispielsweise beim Herunterladen einer Datei von cpuid.com an einem bestimmten Datum eine Warnung, könnte dies ein Hinweis darauf sein, dass im Hintergrund des Anbieters etwas Ungewöhnliches vor sich geht.

Zweitens: Achten Sie auf offensichtliche Details wie den Namen der ausführbaren Datei . Ein Installationsprogramm namens HWiNFO_Monitor_Setup.exe, wenn Sie HWMonitor erwarten, sollte Sie sofort misstrauisch machen. Zwei Sekunden Aufmerksamkeit genügen, um eine schwerwiegende Infektion zu verhindern.

Für Softwareunternehmen unterstreichen solche Vorfälle die Notwendigkeit, CI/CD-Prozesse, den Zugriff auf Download-Server und zusätzliche APIs zu optimieren. Tools zur Abhängigkeitsanalyse wie Semgrep oder andere SCA-Systeme , Sigma-Regeln für CI/CD-Logs und statische/dynamische Analysen vor der Signierung von Binärdateien sind nicht länger optional, sondern unerlässlich.

Schließlich drängt die Cybersicherheitsgemeinschaft auf anspruchsvollere Lösungen: die Verwendung robuster kryptografischer Bibliotheken, um Integrität und Authentizität im Signaturprozess zu gewährleisten, speicherinterne EDR, die in der Lage ist, Angriffsketten wie die in CPU-Z zu unterbrechen, und eine Kultur, in der jede Anomalie bei massiven Downloads sofort untersucht und nicht als isolierter Fehler abgetan wird.

Die Ereignisse um den CPUID-Lieferkettenangriff machen deutlich, dass die Strategie, die Distribution anstatt des Quellcodes direkt zu kompromittieren, auch in Zukunft relevant bleiben wird. Nutzer und Organisationen müssen ihre digitalen Sicherheitsvorkehrungen deutlich verbessern: Hashwerte nach Möglichkeit überprüfen, Dateinamen und Zertifikate genau prüfen, bei bekannten Logos misstrauisch sein und vor allem bei Verdachtsfällen schnell reagieren, damit ein einmaliger Vorfall nicht zu einem langfristigen Problem wird.