{"id":227470,"date":"2020-01-26T00:21:00","date_gmt":"2020-01-25T23:21:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=227470"},"modified":"2020-03-18T13:16:34","modified_gmt":"2020-03-18T12:16:34","slug":"mitsubishi-electric-hack-per-trend-micro-officescan-0-day","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/01\/26\/mitsubishi-electric-hack-per-trend-micro-officescan-0-day\/","title":{"rendered":"Mitsubishi Electric: Hack per Trend Micro OfficeScan 0-day"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>Kleine Info f\u00fcr Administratoren zum Lernen. Mir liegen jetzt Hinweise vor, wie der Hack bei Mitsubishi Electric m\u00f6glich war. Eine ungepatchte 0-day-Schwachstelle im Trend Micro OfficeScan-Paket scheint das Einfallstor gewesen zu sein.<\/p>\n<p><!--more--><\/p>\n<h2>R\u00fcckblick: Der Mitsubishi Electric-Hack<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg05.met.vgwort.de\/na\/988be73d5f52421dbd78f1cfa04da857\" alt=\"\" width=\"1\" height=\"1\" \/>Ich hatte am 21. Januar 2020 im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/21\/sicherheitsvorfall-mit-datenleck-bei-mitsubishi-electric\/\">Sicherheitsvorfall mit Datenleck bei Mitsubishi Electric<\/a> \u00fcber diesen Fall berichtet. Beim japanischen Mischkonzern Mitsubishi hat es einen Sicherheitsvorfall in der Sparte Mitsubishi Electric gegeben.<\/p>\n<p>Der Vorfall ereignete sich bereits im vorigen Jahr, wurde aber erst am 28. Juni 2019 bemerkt. Der Einbruch in die IT-Systeme wurde dann erst im Januar 2020 durch das Unternehmen bekannt gegeben. Ergebnis interner Untersuchungen war, dass Informationen zu sensiblen sozialen Infrastrukturen [sprich Mitarbeiterdaten], streng vertrauliche technische Informationen und weitere wichtige Informationen bei diesem Hack erbeutet wurden.<\/p>\n<p>Vermutet wird, dass eine in China beheimatete Hackergruppe, die wohl staatsnah ist, diesen Angriff ausgef\u00fchrt hat. Es ging dann wohl um Industriespionage. Der Cyberangriff begann bei den Tochtergesellschaften Mitsubishis in China und weitete sich dann auf das interne Netzwerk des Unternehmens aus.<\/p>\n<h2>Hinweis zur Schwachstelle: 0-day in Antivirus<\/h2>\n<p>Ich kenne ja die Interessen meiner Blog-Leser aus dem Administrationsbereich, man will wissen, wie das Ganze passieren konnte. Oft kann ich mangels Wissen nichts dazu schreiben, aber ich verfolge die Meldungen Sicherheitsszene und trage ggf. neue Erkenntnisse nach. So bin ich \u00fcber den nachfolgenden Tweet auf weitergehende Erkenntnisse zum Mitsubishi-Electric-Hack gesto\u00dfen.<\/p>\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">Mini-scoop: Hackers exploited a zero-day in the Trend Micro OfficeScan antivirus to plant malicious files on Mitsubishi Electric servers<a href=\"https:\/\/t.co\/tkWFVSXtjA\">https:\/\/t.co\/tkWFVSXtjA<\/a> <a href=\"https:\/\/t.co\/JL6vnxgJpz\">pic.twitter.com\/JL6vnxgJpz<\/a><\/p>\n<p>\u2014 Catalin Cimpanu (@campuscodi) <a href=\"https:\/\/twitter.com\/campuscodi\/status\/1220811299132792832?ref_src=twsrc%5Etfw\">January 24, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Catalin Cimpanu deutet an, dass die Hacker eine 0-Day Schwachstelle in der Trend Micro OfficeScan-Antivirus-Software ausnutzten, um b\u00f6sartige Dateien auf den Servern von Mitsubishi Electric zu platzieren.<\/p>\n<h3>Sicherheitsl\u00fccke CVE-2019-18187<\/h3>\n<p>Es geht um die Sicherheitsl\u00fccke CVE-2019-18187 in Trend Micro OfficeScan, die von Trend Micro am 28. Oktober 2019 <a href=\"https:\/\/success.trendmicro.com\/solution\/000151730\">\u00f6ffentlich gemacht<\/a> wurde. Trend Micro hat zu deisem Zeitpunkt kritische Patches (CP) f\u00fcr Trend Micro OfficeScan 11.0 SP1 und XG ver\u00f6ffentlicht. Damit soll ein willk\u00fcrlicher Datei-Upload \u00fcber eine directory traversal Schwachstelle verhindert werden. Die Schwachstelle wurde als 'High' mit einem SVE-Rating von 8.2 bewertet.<\/p>\n<h3>Chinesische Hacker kannten die L\u00fccke<\/h3>\n<p>Catalin Cimpanu schreibt in diesem ZDNet-Beitrag, dass chinesische Hacker diesen 0-day-Exploit kannten und benutzten, um Malware auf die Mitsubishi Electric-Server zu laden. Die Malware erm\u00f6glichte den Hackern sich im Netzwerk des Unternehmens zu bewegen. Mitsubishi Electric hat das nicht offiziell best\u00e4tigt oder kommentiert.<\/p>\n<p>Best\u00e4tigt ist nur, dass der Einbruch in das Mitsubishi-Netzwerk am 28. Juni 2019 bemerkt wurde. Nach einer monatelangen Untersuchung (die log-Dateien wurden nach dem Hack gel\u00f6scht) ist Mitsubishi Electric zum Schluss gekommen, dass etwa 200 MB an Dateien gestohlen wurden. Unter Berufung auf Angaben von Mitsubishi gibt ZDnet an, dass folgende Dokumente gestohlen wurden:<\/p>\n<ul>\n<li>Daten \u00fcber Bewerbungen von 1.987 Personen<\/li>\n<li>Die Ergebnisse einer Mitarbeiterbefragung 2012, die von 4.566 Personen aus der Zentrale ausgef\u00fcllt wurde<\/li>\n<li>Informationen \u00fcber 1.569 Mitarbeiter von Mitsubishi Electric, die zwischen 2007 und 2019 in den Ruhestand gingen<\/li>\n<li>Dateien mit vertraulichen technischen Materialien des Unternehmens, Verkaufsmaterialien und anderes.<\/li>\n<\/ul>\n<p>Kann man zur Kenntnis nehmen. Aber japanische Medien haben wohl nachgebohrt und sind dann bez\u00fcglich des Infektionswegs f\u00fcndig geworden. Berichten zufolge hat der Hack zun\u00e4chst bei einer chinesischen Tochtergesellschaft von Mitsubishi Electric begonnen und sich dann auf 14 Abteilungen\/Netzwerke des Unternehmens ausgebreitet.<\/p>\n<p>Das Eindringen wurde angeblich entdeckt, nachdem Mitarbeiter von Mitsubishi Electric eine verd\u00e4chtige Datei auf einem der Server des Unternehmens gefunden hatten. Eine Quelle, die Inside-Informationen zum Angriff hat, teilte ZDNet mit, dass die Hacker die oben erw\u00e4hnte Schwachstelle CVE-2019-18187 im Trend Micro OfficeScan-Virenschutzprogramm ausnutzten, um einen Server zu infizieren.<\/p>\n<p>Von diesen Informationen wurde nichts durch Mitsubishi Electric best\u00e4tig. Vielmehr haben japanische Reporter das ausgegraben. Das einzige technische Detail, was im Zusammenhang mit dem von Mitsubishi Electric bekannt gegebenen Hack auftauchte, war die Information, dass Hacker eine Schwachstelle in einem der Antiviren-Produkte des Unternehmens ausgenutzt h\u00e4tten.<\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/21\/sicherheitsvorfall-mit-datenleck-bei-mitsubishi-electric\/\">Sicherheitsvorfall mit Datenleck bei Mitsubishi Electric<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/12\/24\/schwachstelle-in-citrix-produkten-gefhrdet-firmen-netzwerke\/\">Schwachstelle in Citrix Produkten gef\u00e4hrdet Firmen-Netzwerke<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/13\/exploit-fr-citrix-adc-netscaler-schwachstelle-cve-2019-19781\/\">Exploit f\u00fcr Citrix ADC\/Netscaler-Schwachstelle CVE-2019-19781<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/17\/achtung-weiterer-nachbesserungsbedarf-bei-citrix-netscaler\/\">Achtung: Weiterer Nachbesserungsbedarf bei Citrix-Netscaler<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/23\/ransomware-befall-beim-automobilzulieferer-gedia\/\">Ransomware-Befall beim Automobilzulieferer Gedia<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/potsdam-offline-ungereimtheiten-erzwingen-server-shutdown\/\">Potsdam offline\u2013Ungereimtheiten erzwingen Server-Shutdown<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/cyber-angriffe-stadt-brandenburg-und-gemeinde-stahnsdorf-offline\/\">Cyber-Angriffe: Stadt Brandenburg und Gemeinde Stahnsdorf offline<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/cyberangriffe-das-shitrix-desaster-citrix-netscaler-bug\/\">Cyberangriffe: Gedia &amp; Potsdam Opfer des Shitrix-Desasters (Citrix Netscaler-Bug)?<\/a><\/p>\n<h4><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/17\/intel-sicherheitswarnungen-14-januar-2020\/\">Intel Sicherheitswarnungen (14. Januar 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/19\/microsoft-teams-und-die-sicherheit\/\">Microsoft Teams und die Sicherheit \u2026<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/edge-installer-sicherheit-mangelhaft\/\">Edge: Installer-Sicherheit mangelhaft<\/a><\/h4>\n","protected":false},"excerpt":{"rendered":"<p>Kleine Info f\u00fcr Administratoren zum Lernen. Mir liegen jetzt Hinweise vor, wie der Hack bei Mitsubishi Electric m\u00f6glich war. Eine ungepatchte 0-day-Schwachstelle im Trend Micro OfficeScan-Paket scheint das Einfallstor gewesen zu sein.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459,161],"tags":[2564,4328,4313],"class_list":["post-227470","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","category-virenschutz","tag-hack","tag-sicherheit","tag-virenschutz"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/227470","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=227470"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/227470\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=227470"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=227470"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=227470"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}