从 285KB 到 84MB：CCleaner 被收购两个月，227 万人下载带后门的版本

一、285KB 是什么概念

285KB，大概是一张手机照片的十分之一。

2004 年 3 月，CCleaner 早期公开版本 ccsetup106 的安装包，就这么大——285.2 KB。它能干的事简单到一句话能说完：扫一遍 Windows，把临时文件、浏览器缓存、日志文件、注册表残留列出来，你点一下，它删掉。没有弹窗，没有捆绑，没有后台常驻进程。

二十二年后的今天，从官网下载的同一个安装包是 84.3 MB。这是本文实测的数字：请求官网下载地址，服务端返回的内容长度是 88,427,352 字节，最后修改时间写着 2026 年 6 月 23 日。按 285.2 KB 折算，体积膨胀了大约 300 倍。

但真正让这个名字在这些年里被反复提起的，不是体积。

是 2017 年秋天的那一个月。在它被一家杀毒软件公司宣布收购之后不到一个月，官方下载服务器上分发的安装包，多了一段不属于它的代码。227 万人下载了那个版本。

而最先发现问题的，不是刚刚把它买下来的那家杀毒公司。

二、从 285KB 到 20 亿次下载，再到那个 28 天 一条体积曲线，也是一条信任曲线

CCleaner 最初叫 Crap Cleaner，2003 年 9 月 23 日首次发布。开发它的 Piriform 公司 2005 年 9 月 15 日在伦敦完成注册，创始人是 Guy Saner 和 Lindsey Whelan。

关于这段历史，有一处需要说清楚：软件和公司创始人的署名上是两个人，不是一个人。这类"一个人写的某某工具"的说法在中文圈流传很广，放在那个程序的最初构想上勉强成立，放在完整的公司历史上就不准确了。

它早期的增长曲线很直白：

时间

版本

安装包体积

2004-03

v1.06.050

285.2 KB

2008-02

v2.1

958.8 KB

2016-02

v5.14

6.5 MB

2017-09

v5.34

约 7.3 MB

2018-05

v6.0

50.7 MB

2025-08

v6.39

18.4 MB

2026-06

当前版本

84.3 MB

表中早期几行来自老版本归档站的原始文件记录，中间几行来自公开的软件引用集记录，最后一行是本文实测的官网响应值。口径不完全统一——有的是安装包解压前的体积，有的是主程序的体积——所以这一列只适合看趋势，不适合逐行相减。

下载量一路是：2010 年突破 10 亿次，2016 年 11 月超过 20 亿次。收购公告里那家买方自己写的一句话是，CCleaner 有约 1.3 亿名用户，其中包括 1500 万安卓用户。

那 28 天里到底发生了什么

2017 年 7 月 18 日，杀毒软件公司 Avast 宣布收购 Piriform，交易金额双方未公布。这里顺手纠正一个在中文互联网流传的说法：有文章称这笔交易是 13 亿美元，那不是这次——13 亿美元是 Avast 在 2016 年收购 AVG 的价格。

收购宣布之后的第 28 天，也就是 2017 年 8 月 15 日，CCleaner 5.33 版发布。这个版本在官网下载服务器上一直挂到 9 月 12 日才被 5.34 取代。整整四周。

事件的关键节点如下：

时间

事件

2017-07-18

Avast 宣布收购 Piriform

2017-08-15

CCleaner 5.33 发布并开始分发

2017-08 下旬

安全公司 Morphisec 在客户环境拦截到异常安装

2017-09-12

Morphisec 通知 Avast；同日干净版 5.34 发布

2017-09-13

思科 Talos 团队通知 Avast 同样发现

2017-09-15

攻击者的指挥服务器在执法机构协助下下线

2017-09-18

事件对外公开

有几个技术细节值得记住。第一，被植入的代码挂在 32 位主程序里，安装包本身是通过官方渠道分发的。第二，它带着 Piriform 自己的合法数字签名——由赛门铁克颁发给 Piriform Ltd，有效期到 2018 年 10 月 10 日。第三，运行时会先检查当前用户是不是管理员，不是就直接退出；是的话开始收集信息。第四，收集的内容包括操作系统版本、系统架构、是否有管理员权限、主机名与域名、已安装软件清单、正在运行的进程列表，发往一个硬编码的指挥服务器；同时用一套域名生成算法做备用通道。第五，执行前会先等大约十分钟，用来避开自动化沙箱。

三个数字，三个口径，不能相加

这是整个事件里最容易被混起来的部分。流传最广的三个数字，说的其实是三件事：

数字

口径

2,270,000

下载或安装了受影响版本的用户数

1,646,536

按网卡地址去重后，实际上向指挥服务器汇报过的机器数

700,000

在 9 月 12 日到 16 日期间向服务器汇报的机器数

40 台

最终收到二阶段载荷的机器，涉及约 20 家公司

第三行和第四行需要解释一下。调查过程中，攻击者的服务器因为磁盘空间不足把自己的数据库清掉了，调查人员最初只看到三天窗口、二十来台机器。后来找到了那份被删除数据库的备份，才把规模还原到一百六十多万台这个量级。而 40 台这个数字，是最终被投递了二阶段载荷的机器数量——它占受害规模的 0.0018%。

所以 227 万不是"被攻陷的规模"，40 台也不是"受害的规模"。思科 Talos 团队当时给出的定性是：这是一个极其有针对性的行动者，在寻找有价值的智力资产。名单上出现的是一批科技与电信公司的域名，服务器上还保存着按目标动态增删这份名单的能力。也就是说，绝大多数下载了那个版本的普通用户，从头到尾都不是目标，只是这段代码的分布样本。调查还在受感染机器里发现约 540 台政府系统、51 台域名中含"银行"字样的机器。

谁先看到的

把它拆开看，发现链条其实有两环，而不是一环。

第一环是安全公司 Morphisec。它在 2017 年 8 月下旬就在客户环境里拦截到了异常的 CCleaner 安装行为，9 月 12 日正式通知 Avast。第二环是思科 Talos 团队，他们在测试一套新的漏洞检测技术时碰巧撞上同一个可执行文件，9 月 13 日通知 Avast。

中文世界里常见的说法是"发现者是思科 Talos"，这个说法少了一天——Morphisec 更早。两家都通知了买方，买方随后发布干净版本、下线服务器、公开说明。

三、真正值得琢磨的三件事 接手它的是一家杀毒公司，出问题的却是构建链

先肯定这件事本身的价值：整件事的响应速度在同类事件里不算慢——从正式通知到干净版本发布是同一天，三天内指挥服务器下线，五天后面向公众说明。买方还承担了后续的构建环境重建、设备更换与第三方审计。

但有一个事实上的反差没法回避：一家以查杀恶意代码为主业的公司，接手了一个被下载过 20 亿次的软件，并没有在第一时间发现自己分发的安装包多了一段代码。四周时间里，那个带后门的版本就挂在官方下载服务器上。

这里必须补一句公道话，否则这个对比就变成了嘲讽：Avast 当时的说法是，恶意代码在它完成收购之前就已经被植入 5.33 版本。所以时间上的"近"不等于责任上的"是它干的"。攻击者拿下的是构建环境，不是买方接手之后新增的某个漏洞。

可即便如此，这件事暴露出的结构问题依然成立：签名是真的、服务器是官方的、渠道是正规的——三道防线全都站在"信任"这一侧。攻击者不需要骗过任何一道，他只是站到了这些防线背后。

合法签名证明的不是安全，只是身份

数字签名的用途是证明这段代码由谁发布，不是证明这段代码里没有多余的东西。

Windows 看到签名会显示"已验证的发布者：Piriform"，杀毒软件不响警报，用户不产生任何怀疑。所有这一切都是对的——签名确实是真的，发布者确实是 Piriform。问题在于，攻击者用的正是发布者自己的那本证书。

所以"验签通过"这件事的含义，严格来说只有一句：这段代码确实出自那个发布者的构建流程。而这次事件说明，构建流程本身是可以被人动过的。

关于攻击者身份，只能说公开确认的那部分

到目前公开的资料为止，攻击者的身份没有得到公开确认。调查方在服务器上发现过一些线索，也明确表示过这些线索不足以支撑归因。

所以这篇文字写到这里就停下：不知道是谁，就不写成是谁。这不是回避，这是这类事件的正确写法——归因一旦写错，整篇文章的所有推理都会跟着一起错。

四、这件事对今天的我们意味着什么

第一，对普通用户来说，"只从官方渠道下载"这句话在供应链攻击面前不提供任何保护。这次的安装包就是官方渠道的，签名就是官方的。真正能补上的动作只有两个：装完之后确认一下拿到的是不是那个发布者分发的东西，以及不要长期停留在旧版本上。

第二，对开发者来说，构建环境和分发服务器属于同一个信任边界，中间不该有可以单独被拿下的环节。签名证书是需要轮换、需要隔离、需要有人盯着的资产，不是签一次就能用到底的工具。

第三，对管理者来说，一个被下载过 20 亿次的软件，它的全部价值建立在"用户相信它"这件事上。信任被用掉一次，换回来需要很多年。

这也是 CCleaner 后来那条曲线的起点。收购之后，它逐步加入了后台常驻的主动监控、遥测与捆绑安装；2020 年 7 月，微软的 Defender 把它的免费版标记为"潜在不受欢迎程序"，理由是捆绑了第三方软件——微软的原话是，捆绑本身合法，但可能带来意料之外的软件行为；Piriform 几天后更新，把第三方软件安装改成可选。2022 年，Avast 与另一家安全公司合并，Piriform 归入新集团旗下。

到 2026 年，它的版本号已经走到 7.12，安装包 84.3 MB，专业用户之间普遍的态度是劝阻安装。一个 285KB 的清理工具，二十二年间长成了一个 84 MB 的程序，中间隔着一整套它自己也无法完全掌控的构建与分发体系。

五、留一个问题

从 285KB 到 84MB，膨胀了 300 倍；从被收购到带后门的版本上线，只隔了 28 天。这两条线放在一起看，会发现"体积"和"信任"的走向正好相反——一个越来越大，一个越来越薄。

你上一次认真看过一个安装包的数字签名，是什么时候？