• IT-Karriere:
  • Services:

Zero Day: Lücken in Trend Micros Sicherheitssoftware aktiv ausgenutzt

Insgesamt fünf Sicherheitslücken hat Trend Micro in seiner Anti-Viren-Software geschlossen.

Artikel veröffentlicht am ,
Sicherheitslücken in der Sicherheitssoftware von Trend Micro
Sicherheitslücken in der Sicherheitssoftware von Trend Micro (Bild: Behrouz Mehri/AFP via Getty Images)

Eigentlich soll Sicherheitssoftware die Nutzer vor Angriffen schützen, doch immer wieder tauchen schwerwiegende Sicherheitslücken in eben jener Software auf. Diesmal trifft es die Sicherheitsfirma Trend Micro, die gleich fünf Sicherheitslücken in ihrer Anti-Viren-Software geschlossen hat. Zwei davon sollen bereits aktiv von Angreifern ausgenutzt worden sein, bevor sie Trend Micro schließen konnte (Zero Days). Zuerst hatte das Onlinemagazin ZDnet berichtet.

Stellenmarkt
  1. ABB AG, Mannheim (Home-Office möglich)
  2. Schaeffler Paravan Technologie GmbH & Co. KG, Schorndorf, Schorndorf

Die bereits aktiv ausgenutzten Sicherheitslücken (CVE-2020-8467, CVE-2020-8468) steckten in einem Migrationstool sowie der Inhaltsvalidierung der beiden Sicherheitssoftwares Apex One und Officescan von Trend Micro. Mit ihnen war es den Angreifern möglich, Code aus der Ferne (RCE, Remote Code Execution) auszuführen sowie Komponenten der Software zu manipulieren. Allerdings benötigten die Angreifer hierzu die Anmeldedaten der betroffenen Nutzer. Insofern dürften die Angreifer die Lücken in bereits kompromittierten Netzwerken oder Systemen ausgenutzt haben, beispielsweise, um Sicherheitssoftware zu deaktivieren. Details nennt Trend Micro hierzu nicht.

Drei weitere Lücken waren ohne Authentifizierung aus der Ferne ausnutzbar

Noch gefährlicher sind die drei Sicherheitslücken (CVE-2020-8470, CVE-2020-8598, CVE-2020-8599), die laut Trend Micro nicht aktiv ausgenutzt wurden. Über eine anfällige DLL-Datei konnten beliebige Dateien gelöscht oder Code ausgeführt werden. Beide Lücken konnten aus der Ferne mit Systemrechten ausgeführt werden, ohne dass eine Authentifizierung am System notwendig war. Mit einer weiteren Sicherheitslücke konnten über eine verwundbare .exe-Datei beliebige Dateien auf dem System geschrieben werden. Auch dies war mit Systemrechten möglich, ohne dass sich ein Angreifer am System authentifizieren musste.

Im Sommer 2019 soll Mitsubishi Electric über eine Zero Day in Trend Micros Officescan gehackt worden sein. Rund 200 MByte Daten sollen die Angreifer kopiert haben, darunter Bewerbungen von knapp 2.000 Personen, Informationen über knapp 1.600 Personen, die zwischen 2007 und 2019 in den Ruhestand gegangen sind sowie vertrauliche Dateien mit Informationen zu technischen Materialien und Verkaufsunterlagen des Unternehmens.

Avast verkaufte Nutzerdaten

Vergangene Woche deaktivierte die Sicherheitsfirma Avast eine Komponente ihrer gleichnamigen Anti-Viren-Software, nachdem Google Project Zero mehrere Tage zuvor eine schwerwiegende Sicherheitslücke in dieser entdeckt hatte. Es reiche, einem Benutzer eine Javascript- oder WSH-Datei mit Schadcode zukommen zu lassen, beispielsweise per E-Mail. Diese würde zur Prüfung von Avasts Javascript-Engine ausgeführt - mit Systemrechten, wie Tavis Ormandy von Project Zero betonte. Damit konnte Code aus der Ferne ausgeführt werden.

Anfang des Jahres wurde zudem bekannt, dass eine Tochterfirma von Avast Nutzerdaten an Unternehmen wie Google oder Microsoft verkauft hat. Die Daten wurden von einer Browsererweiterung von Avast gesammelt und ermöglichten, die Nutzer mit hoher Genauigkeit durch das Internet zu verfolgen. IT-Sicherheitsexperten bezeichnen wegen solcher Sicherheitslücken und Vorfälle Anti-Viren-Software als Schlangenöl, die teils mehr schade, als sie nutze.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 10,89€ (ohne Prime oder unter 29€ zzgl. Versand)
  2. (u. a. MSI GeForce RTX 2060 SUPER Ventus GP OC für 409€, Zotac Gaming GeForce GTX 1650 SUPER...
  3. (aktuell u. a. Samsung Portable SSD T5 für 149€ und TP-Link M7350 für 59,99€ inkl...
  4. (heute u. a. Acer H6535i FHD-Beamer für 449€ statt 568,98€ im Vergleich, Lenovo Smart Display...

TW1920 19. Mär 2020 / Themenstart

Naja, man braucht auch noch andere Dateien ;) Zudem: Mit jpg und pdf konnte man auch...

Kommentieren


Folgen Sie uns
       


Magenta-TV-Stick der Deutschen Telekom - Test

Der Magenta-TV-Stick befindet sich noch im Betatest, so dass einige Funktionen noch fehlen und später nachgereicht werden. Der Stick läuft mit einer angepassten Version von Android TV. Bei Magenta TV selbst sehen wir noch viel Verbesserungsbedarf.

Magenta-TV-Stick der Deutschen Telekom - Test Video aufrufen
Starsky Robotics: Woran ein Startup für autonome Lkw gescheitert ist
Starsky Robotics
Woran ein Startup für autonome Lkw gescheitert ist

Der Gründer eines Startups für selbstfahrende Lkw hält die Technik noch lange nicht für praxistauglich.
Ein Bericht von Friedhelm Greis

  1. Neue Prioritäten Daimler setzt beim autonomen Fahren zuerst auf Lkw
  2. Autonomes Fahren AutoX und Fiat planen autonome Taxis in China
  3. Human Drive Autonomer Nissan Leaf fährt durch Großbritannien

IT-Chefs aus Indien: Mehr als nur ein Klischee
IT-Chefs aus Indien
Mehr als nur ein Klischee

In den Vorstandsetagen großer Tech-Unternehmen sind Inder allgegenwärtig. Der Stereotyp des IT-Experten aus Südasien prägt die US-Popkultur. Doch hinter dem Erfolg indischstämmiger Digitalunternehmer steckt viel mehr.
Ein Bericht von Jörg Wimalasena

  1. Jobporträt Softwaretester "Ein gesunder Pessimismus hilft"
  2. Frauen in der IT Software-Entwicklung ist nicht nur Männersache
  3. Virtuelle Zusammenarbeit Wie Online-Meetings nicht zur Zeitverschwendung werden

Microsoft Teams im Alltag: Perfektes Werkzeug, um Effizienz zu vernichten
Microsoft Teams im Alltag
Perfektes Werkzeug, um Effizienz zu vernichten

Wir verwenden Microsofts Chat-Dienst Teams seit vielen Monaten in der Redaktion. Im Alltag zeigen sich so viele Probleme, dass es eigentlich eine Belohnung für alle geben müsste, die das Produkt verwenden.
Von Ingo Pakalski

  1. Adobe-Fontbibliothek Font-Sicherheitslücke in Windows ohne Fix
  2. Microsoft Trailer zeigt neues Design von Windows 10
  3. Unternehmens-Chat Microsoft verbessert Teams

    •  /