СМИ: для атаки на Mitsubishi Electric использовали 0-day в Trend Micro OfficeScan

Рекомендуем почитать:

Xakep #249. Wi-Fi

• Содержание выпуска
• Подписка на «Хакер»

Издание ZDNet сообщает, что по данным неназванных источников, близких к расследованию, недавний взлом компании Mitsubishi Electric и последующая утечка данных были связаны с эксплуатацией уязвимости нулевого дня в антивирусе Trend Micro.

Напомню, что на прошлой неделе стало известно о компрометации компании Mitsubishi Electric, одного из крупнейших в мире производителей электроники и электрооборудования. Хотя инцидент произошел еще в прошлом году, 28 июня 2019 года, официальное внутреннее расследование началось лишь в сентябре, а детали случившегося и были раскрыты только недавно.

Хакеры похитили из внутренней сети компании конфиденциальные данные. В частности, они взломали «десятки компьютеров и серверов в Японии и за рубежом», откуда они выкрали примерно 200 Мб файлов (в основном деловых документов, информации о сотрудниках и кандидатах на трудоустройство).

Теперь, когда о взломе стало известно, японские СМИ принялись изучать ситуацию. По их данным, взлом произошел в китайском филиале Mitsubishi Electric, а затем распространился на 14 других подразделений компании. Вторжение обнаружили после того, как сотрудники Mitsubishi Electric заметили подозрительный файл на одном из серверов. Также японские СМИ сообщают, что ответственность за этот инцидент лежит на спонсируемой государством китайской кибершпионской группе Tick.

Пока представители Mitsubishi Electric никак не комментируют эти новые подробности, и единственный известный технический факт: хакеры эксплуатировали уязвимость в одном из антивирусных продуктов, которые использовала компания. Собственный источник сообщил ZDNet, что злоумышленники использовали баг CVE-2019-18187, уязвимость, связанную с обходом каталога и произвольной загрузкой файлов, в антивирусе Trend Micro OfficeScan.

В настоящее время эта проблема уже устранена, но в октябре прошлого года разработчики Trend Micro писали, что уязвимость обхода каталога можно использовать для извлечения файлов ZIP-архива в папку на сервере OfficeScan, что потенциально может привести удаленному выполнению кода. Хуже того, тогда Trend Micro предупредила своих клиентов о том, что уязвимость уже активно используется хакерами.

Источник