Sicherheitswarnung zur 3CX Desktop App

[corinawerner]

UPDATE: Die Liste der Mac-Versionen wurde am 4. April um 10 Uhr (MEZ) aktualisiert, um zu darauf hinzuweisen, dass eine dieser Versionen mit Update 6 ausgeliefert wurde. Wir bedauern, unsere Partner und Kunden darüber informieren zu müssen, dass unsere in Update 7 ausgelieferte Electron Windows-App mit den Versionsnummern 18.12.407 und 18.12.416 ...

Original-Blogpost weiterlesen

 

[micmagsol]

Hallo, ich frage mich, ob die Deinstallation des Clients sinnlos ist? Das System wird ja anscheinend schon bei der Installation des Clients befallen und die entsprechende Schadsoftware geladen. Der Ratschlag den Client zu entfernen wiegt doch dann die User in falscher Sicherheit. Tatsächlich muss doch dann der ganze Rechner in Quarantäne und neu installiert werden. Habt ihr denn noch keine weiteren Erkenntnisse um eine Infizierung festzustellen?

Weitere Infos wären wirklich sehr hilfreich. Bei uns bricht grade Panik in den einzelnen IT-Abteilungen aus.

 

[icom]

Hallo,
wir setzen TrendMicro ein, er erkennt die zwei Trojaner erst bei der Deinstallation des 3cx Clients. Welche Schritte wären jetzt richtig. Kompletter Systemscan läuft bereits. Passwörter werden geändert. Was genau tut dieser Trojaner? Was soll man noch prüfen?

 

[tgruenert]

Hallo!
Gibt es bzgl. der betroffenen Versionen inzwischen mehr Klarheit? In bleepingcomputer.com wird erwähnt:
"Customers report that the security alerts are triggered after installing the 3CesktopApp 18.12.407 and 18.12.416 Windows versions or the 18.11.1213 and the latest version on Macs."

Wie verhält es sich nun speziell für die Version 18.11.1213 auf Windows und Mac?

Außerdem sei das amerikanische Forum zum Lesen empfohlen. Dort wurde das Problem offenbar schon früher diskutiert.
Vielen Dank für die Aufklärung. Auch hier ist gerade großer Alarm.

 

[Mjura]

Mir ist aufgefallen, dass die Version 18.12.416 weiterhin heruntergeladen werden kann.
Denke es macht sehr wohl Sinn, die Source bis auf weiteres abzudrehen.
Bitte, danke!

 

[Mjura]

Hallo,
wir setzen TrendMicro ein, er erkennt die zwei Trojaner erst bei der Deinstallation des 3cx Clients. Welche Schritte wären jetzt richtig. Kompletter Systemscan läuft bereits. Passwörter werden geändert. Was genau tut dieser Trojaner? Was soll man noch prüfen?

Hier mal nachlesen:

Telefonsystem 3CX weltweit für DLL-Sideloading-Angriff genutzt

Zurzeit sorgt eine trojanisierte Version der beliebten VOIP/PBX-Software 3CX für Schlagzeilen. Das Geschäftstelefonsystem wird weltweit von Unternehmen in 190 Ländern genutzt. Bei der Attacke schei…

news.sophos.com

 

[Luke2022]

Mir ist aufgefallen, dass die Version 18.12.416 weiterhin heruntergeladen werden kann.
Denke es macht sehr wohl Sinn, die Source bis auf weiteres abzudrehen.
Bitte, danke!

Wenn eine Self Hosted PBX genutzt wird sind die Betroffenen Dateien weiterhin vorhanden. In einem anderen Forum Eintrag gibt es hierzu einen "Workaround" https://www.3cx.de/forum/threads/kompromittierte-3cx-desktop-app.114759/post-404479

 

[MarcusK_3CX]

Vielen Dank für Eure rege Diskussion, leider ist das Thema nicht so toll.

Nutzt bitte die PWA App und folgt den Anweisungen im Blog Post. Sobald wir weitere Informationen oder Updates haben, werden wir Euch umgehend informieren.

Wir tun alles um Euch so schnell wie möglich eine Lösung anzubieten.

 

[comjoinit]

Vielen Dank für Eure rege Diskussion, leider ist das Thema nicht so toll.

Nutzt bitte die PWA App und folgt den Anweisungen im Blog Post. Sobald wir weitere Informationen oder Updates haben, werden wir Euch umgehend informieren.

Wir tun alles um Euch so schnell wie möglich eine Lösung anzubieten.

Alles mögliche zu tun, heißt hier im ersten Schritt für eine breite Kommunikation zu sorgen und die Kunden vor weiterem Schaden zu bewahren.

Warum wurden also die Kunden noch nicht Proaktiv per Email informiert?

 

[icom]

Für mich wäre jetzt interessant was nun genau der Trojaner gemacht hat und wie ich das prüfen und beheben kann. App deinstallieren, Virenscan und Passwortänderung. Ist es nun genug? Wie kann man sicher gehen, dass man nichts mehr auf dem System hat. Und was hat er nach Hause geschickt? Wie kriegt man dies raus?

 

[LCH Cloud]

Wir konnten bei unseren Kunden nach dem Löschen des Clients keine weiteren Torjaner auf den Geräten finden
auch haben die Firewalls nichts weiter erkannt. Bei uns hat der Virenschutz direkt denn Client gekillt, sodass dieser unbrauchbar wahr.

 

[comjoinit]

Um die Desktop-App via CMD zu deinstallieren könnt ihr folgendes Kommando verwenden:
wmic product where "name like '3CX Desktop App'" call uninstall /nointeractive

Bitte beachtet jedoch, dass dieses Kommando im Kontext des angemeldeten Benutzers ausgeführt werden muss, da die App in Appdata des benutzers installiert ist. Führt ihr das Kommando im Systemkontext aus, dann wird es nicht funktionieren.

 

[itfreundgbr]

Wir vermissen auch eine transparentere Kommunikation seitens 3CX!

 

[MarcusK_3CX]

Wir vermissen auch eine transparentere Kommunikation seitens 3CX!

Folgen Sie einfach den Anweisungen im Blog Post. Dort sind auch eindeutig die betroffenen Versionen genannt. Sobald wir weitere Informationen haben, Workaround, Update etc., werden wir Sie umgehend informieren. Wie transparent wollen Sie es noch?

 

[Dieter.K]

Ich denke das was der Client in der letzten Woche anrichten konnte hat er bereits getan.
Von daher ist es jetzt wichtig zu wissen was er denn in der letzten Woche getan hat um zu wissen was nun zu tun ist.

Also bitte liebes 3cx Team, bringt ein update, welches auf den alten Client updatet um erst mal die Kuh großflächig vom Eis zu bringen.
Wär das nicht erst mal ein proaktiver Anfang?
Es gibt ja auch Kunden welche keine IT Abteilung vor Ort haben.

 

[itfreundgbr]

Transparent wäre gewesen, alle Kunden per Mail zu informieren bzw. die Kommunikation breiter gestalten.

Die Problematik ist im US Forum schon länger bekannt! Es gab zumindest seit letzter Woche Beitrage mit ungewöhlichem Verhalten. Seit dem 29.03 ist es bestätigt und man bekommt die Infos aus der Presse, anstatt der Hersteller breit informiert.

 

[MarcusK_3CX]

Ich denke das was der Client in der letzten Woche anrichten konnte hat er bereits getan.
Von daher ist es jetzt wichtig zu wissen was er denn in der letzten Woche getan hat um zu wissen was nun zu tun ist.

Also bitte liebes 3cx Team, bringt ein update, welches auf den alten Client updatet um erst mal die Kuh großflächig vom Eis zu bringen.
Wär das nicht erst mal ein proaktiver Anfang?
Es gibt ja auch Kunden welche keine IT Abteilung vor Ort haben.

Wie gesagt arbeiten die Kollegen gerade daran, so schnell wie möglich eine Lösung zu präsentieren. Welches Vorgehen das beste ist müssen wir den Entwicklern überlassen. Es wird wohl etwas Zeit in Anspruch nehmen, bis dahin bitte den Anweisungen folgen und den PWA oder gar den Webclient nutzen wie beschrieben.

 

[LasseSamenstrøm]

Um die Desktop-App via CMD zu deinstallieren könnt ihr folgendes Kommando verwenden:
wmic product where "name like '3CX Desktop App'" call uninstall /nointeractive

Bitte beachtet jedoch, dass dieses Kommando im Kontext des angemeldeten Benutzers ausgeführt werden muss, da die App in Appdata des benutzers installiert ist. Führt ihr das Kommando im Systemkontext aus, dann wird es nicht funktionieren.

Hab ich anders gelöst:

taskkill /IM "3CXDesktopapp.exe" /f
rmdir C:\Users\%username%\AppData\Local\Programs\3CXDesktopApp /s /q
rmdir C:\Users\%username%\AppData\Roaming\3CXDesktopApp /s /q
rmdir C:\Users\%username%\AppData\Roaming\3CXPhone for Windows /s /q

Wobei der Ordner 3CXPhone for Windows wohl nur mit Adminrechten gelöscht werden kann.

 

[MarcusK_3CX]

Transparent wäre gewesen, alle Kunden per Mail zu informieren bzw. die Kommunikation breiter gestalten.

Die Problematik ist im US Forum schon länger bekannt! Es gab zumindest seit letzter Woche Beitrage mit ungewöhlichem Verhalten. Seit dem 29.03 ist es bestätigt und man bekommt die Infos aus der Presse, anstatt der Hersteller breit informiert.

In der Regel mögen es Partner nicht, wenn Endkunden direkt kontaktiert werden. Das ist Ihr Job als Partner. Die meisten Anlagen sind auch gar nicht auf den Kunden registriert, sondern auf den Partner. Daher sind wir den Weg über den Blog Post gegangen.

 

[bitn2]

In der Regel mögen es Partner nicht, wenn Endkunden direkt kontaktiert werden. Das ist Ihr Job als Partner. Die meisten Anlagen sind auch gar nicht auf den Kunden registriert, sondern auf den Partner. Daher sind wir den Weg über den Blog Post gegangen.

Aber auch da wäre eine Mail sicherlich der korrekte Weg gewesen, wir haben das auch nur durch Zufall gesehen da wir sehr aktiv im Forum sind.