Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

torsdag 5. oktober 2017

Oppsummering av nyhetsbildet innen datasikkerhet for september 2017

Vi håndterte 97 alvorlige hendelser i september, mot 83 i august. Dette er i forbindelse med vår tjeneste Sikkerhetsovervåking. Det var ingen spesielle angrepsbølger eller angrep som skilte seg spesielt ut fra det vanlige.

Det var 365 bekreftede DDoS-angrep i september. 123 av disse ble mitigert. Et gjennomsnittlig angrep var på 2,38 Gbps og varte typisk i 24 minutter. Det største angrepet observert i denne perioden var på 13,6 Gbps og varte i 8 minutter. Tre av TSOCs kunder ble utsatt for angrep denne måneden.

Revisjons- og rådgivningsfirmaet Deloitte har vært utsatt for datainnbrudd. Hackerne bak angrepet hadde tilgang til konfidensiell e-post fra noen av selskapets kunder. Dette skjedde ved at Deloittes globale epostserver ble kompromittert ved at angriperne fikk tilgang til en administratorkonto med tilgang til alle områder. Administratorkontoen hadde ikke to-faktor autentisering aktivert. Mange av firmaets kunder er ledende innenfor sektorer som bank, finans, farmasi og media. Offentlige etater er også på Deloittes kundeliste. Hackerne hadde tilgang til systemene i flere måneder før det ble oppdaget i mars tidligere i år. Hvorfor det ikke har vært kjent før nå er uklart.

Sikkerhetsfirmaet Armis avdekket åtte svakheter i Bluetooth, som blant annet gjør det mulig å eksekvere kode på enheten uten at brukeren må foreta seg noe. Bare at enheten er på og har aktivert Bluetooth er nok. Selv om enheten allerede er tilkoblet en annen enhet, er den fortsatt sårbar. En annen av svakhetene gjør det mulig å avlytte nettverkstrafikk til og fra sårbare enheter. Microsoft patchet Windows i juli, uten at de oppga detaljer rundt svakheten. Google leverte patcher til leverandører av Android-telefoner i juli. Versjoner av iOS før versjon 10 er også sårbare. Flere Linux-distribusjoner trenger også patching. Mange Android-telefoner vil ikke bli patchet på lang tid.

Et innbrudd hos kredittovervåkingsselskapet Equifax har eksponert personlig informasjon fra over 145 millioner amerikanere. Informasjon som er på avveie inkluderer navn, personnummer, fødselsdatoer og adresser. Innbruddet ble gjort gjennom en svakhet i Apache Struts. Svakheten ble patchet 8. mars, men Equifax oppdaterte ikke sine servere. Angriperne kom seg inn i nettverket den 15. mai, men angrepet ble oppdaget 29. juli. Equifaxs CEO gikk av etter innbruddet.

Versjon 5.33 av det populære verktøyet CCleaner har vært infisert av malware. Dette gjaldt den offisielle versjonen som ble distribuert av utgiveren Piriform/Avast. Den infiserte versjonen ble lagt ut 15. august og hadde godkjent/korrekt signatur. En ny versjonen uten malware ble utgitt 12. september. Kun 32-bits utgaven av programmet var infisert. Dette er et såkalt “Supply Chain Attack” og er svært vanskelig å oppdage eller forhindre. I løpet av måneden kom det fram at angrepet var svært målrettet mot spesifikke teknologifirmaer. Dersom den infiserte utgaven av CCleaner ble installert på en PC i firmaer som Microsoft, Sony, Intel, VMWare, Samsung, osv. ble sekundær malware lastet ned. Sikkerhetsfirmaet Talos mener at gruppen bak operasjonen var ute etter industrihemmeligheter. De mistenker også Kina for å stå bak.

The Department of Homeland Security har gitt amerikanske myndigheter 90 dager på å avinstallere og erstatte programvare fra Kaspersky. Dette på grunn av sterk mistanke til knytning mot russiske myndigheter. Kaspersky benekter enhver tilknytning.

Washington Post avslørte at et russisk firma, som er knyttet til propaganda fra Kremlin, skal ha kjøpt politisk reklame for over $100.000 fra Facebook i forbindelse med det amerikanske valget. Millioner av amerikanere skal ha sett annonsene. Politisk reklame på Facebook blir mer og mer populært siden den kan leveres målrettet til bestemte velgergrupper basert på etnisitet, alder, kjønn, bosted, interesser, osv.

Symantec ga ut informasjon om en ny gruppe angrep utført av en gruppe de kaller "Dragonfly 2.0". Angrepene har vært rettet mot kraftforsyningen i flere land i Europa og USA. Den siste bølgen av angrep begynte i 2015 og har økt i intensitet i 2017. Kampanjen har mange likheter med tidligere lignende kampanjer, og Russland mistenkes å stå bak. Angriperne bruker både phishing, vannhullsangrep og dokumenter med malware for å komme seg på innsiden av nettverk. I flere tilfeller i USA skal angriperne ha hatt tilgang til styringssystemer for kraftforsyningen.


onsdag 6. september 2017

Oppsummering av nyhetsbildet innen datasikkerhet for august 2017

Vår tjeneste Sikkerhetsovervåking avdekket 83 alvorlige hendelser i august, mot 64 i juli. I august var det ingen spesielle hendelser eller angrepsbølger som skilte seg spesielt ut. Hendelsene er fordelt på malware, phishing, skanning etter sårbarheter, innloggingsforsøk ved hjelp av tusenvis av forskjellige passord og adware/spyware.

Det var 388 bekreftede DDoS-angrep i juni. 103 av disse ble mitigert. Et gjennomsnittlig angrep var på 2.12 Gbps og varte typisk i 25 minutter. Det største angrepet observert i denne perioden var på 28.2 Gbps og varte i 6 minutter. To av våre betalende kunder ble utsatt for angrep denne måneden.

Forskere ved Princeton University har demonstrert i praksis hvordan de kan få utstedt SSL-sertifikater til domener de ikke kontrollerer. Dette gjøres ved hjelp av BGP-hijacking i det sertifikatutstederen sjekker domenet. Kun et lite subnett i domenet hijackes, så det er vanskelig å oppdage angrepet. For å forhindre slike angrep, foreslår forskerne at eierskapet til domenet sjekkes fra flere steder på Internett. Det blir da vanskeligere å gjennomføre BGP-hijackingen, og den blir også enklere å oppdage. Sertifikatutstederen Lets Encrypt har nå innført denne typen sjekk.

Chrome-versjonen av nettleserutvidelsen Web Developer ble kompromittert av hackere etter at utvikleren selv gikk på et phishing-angrep. Angriperne lastet opp en modifisert versjon av utvidelsen som injiserte reklame i brukerens nettleser. Det har vært en trend i det siste at populære nettleser-tillegg har blitt kompromittert og det er beregnet at rundt 5 millioner kan være rammet av hackede utvidelser. Slike utvidelser har ofte rettigheter til å avlytte trafikk og tastetrykk i nettleseren.

Et Distributed Denial of Service-botnett (DDoS) bestående av flere hundre tusen Android-telefoner er nylig oppdaget av sikkerhetsforskere. Botnettet – som har fått navnet «WireX» – skal ha blitt brukt som pressmiddel for å tilrøve seg penger fra ulike domeneeiere verden over. Android-telefonene har blitt infisert gjennom rundt 300 apper som har blitt distribuert via Google Play-markedet. Google trakk også en annen serie med 500 apper fra Play Store etter funn av en bakdør i et API som var laget for å vise reklame i apper.

Den siste tiden er det rapportert om flere skip som feilrapporterer posisjonen sin. Det mistenkes at flere av hendelsene skyldes russisk testing av et nytt system for GPS-spoofing. Slik spoofing av GPS-signaler kan misbrukes til mange formål, blant annet GPS-avhengige raketter brukt av militæret.

Zerodium, en gruppe som spesialiserer seg på kjøp og salg av 0-dags svakheter, har sagt at de tilbyr opptil en halv million dollar for svakheter i de populære krypterte meldingsapplikasjonene Signal og WhatsApp. Dette kan tyde på at appene er relativt sikre og at mange er interessert i å avlytte kommunikasjon via disse appene.

Marcus Hutchins, også kjent under aliaset MalwareTech, ble arrestert av FBI på en flyplass i Las Vegas i august. Han var på reise til USA for å delta på konferansen Black Hat. Hutchins er kjent for å være mannen som stoppet WannaCry-viruset tidligere i år. Nå er han siktet for å ha utviklet og solgt skadevaren Kronos, som tidligere har rammet finanssektoren. Mange har trodd at Kronos stammet fra Russland, men dette trekkes nå i tvil. Marcus venter nå på rettssak og har ikke lov til å forlate USA.

Troy Hunt har gjort tilgjengelig 306 millioner passord som ved tidligere hackerangrep har blitt kompromittert. Hunt anbefaler utviklere å lage systemer som nekter nye brukere å opprette kontoer med passord fra listen. Det er ikke de originale passordene som ligger i listen, men en SHA-1 basert hash av dem.

tirsdag 1. august 2017

Oppsummering av nyhetsbildet innen datasikkerhet for juli 2017

I juli hadde vi 64 alvorlige hendelser i forbindelse med vår tjeneste Sikkerhetsovervåking. Dette er en halvering fra juni, noe som er normalt i fellesferien. Antallet hendelser går ned når mange ansatte ikke er på jobb, siden mange av hendelsene krever en aktiv handling for å bli utløst.

Det var 416 bekreftede DDoS-angrep i juni. 111 av disse ble mitigert. Et gjennomsnittlig angrep var på 2.06 Gbps og varte i 29 minutter. Det største angrepet observert i denne perioden var på 26.7 Gbps og varte 8 minutter. Flere av våre betalende kunder ble utsatt for angrep denne måneden. Tallene for juli er veldig like til forrige måned, noe som viser at de som står bak DDoS-angrepene ikke tar ferie.

Sikkerhetsselskapet Senrio har oppdaget en ny svakhet som trolig gjør millioner av IoT-enheter sårbare for ekstern kjøring av ondsinnet kode. Svakheten har blitt gitt navnet "Devil's Ivy", og ble først oppdaget i web-kameraer fra Axis, men selve sårbarheten som utnyttes befinner seg i et underliggende open-source bibliotek i gSOAP. gSOAP er et utvikler-rammeverk som benyttes av utviklere for å bl.a. gi IoT-enheter internett-tilgang. Pga. den store utbredelsen av gSOAP antyder Senrio at flere titalls millioner IoT-enheter kan være påvirket av svakheten på en eller annen måte. Genivia, som står bak gSOAP, har nå patchet svakheten. Produsenten Axis har også fjernet sårbarheten fra 249 kamera-modeller vha. ny firmware.

Janus, som er kjent for å være personen bak den opprinnelige Petya-skadevaren (må ikke forveksles med det nylige NotPetya-skadevaren), har gjort master-nøkkelen tilgjengelig online. Dette betyr at ofre for angrepet nå kan dekryptere filene sine uten å betale løsepenger. Forskere fra Kaspersky Labs har bekreftet at dekrypteringsnøkkelen fungerer på filer kryptert av Petya-skadevaren, samt tidlige versjoner av GoldenEye-skadevaren.

Denne måneden har to store markedsplasser på det mørke nettet blitt lagt ned. Amerikanske myndigheter tok først ned AlphaBay. Etter denne hendelsen flyttet mange brukere til det konkurrerende markedet Hansa. Forsvarsdepartementet i USA meldte imidlertid at Hansa hadde vært operert av nederlandsk politi i flere uker, for å registrere brukere som kom fra AlphaBay for videre etterforskning. Det er nå få store markeder igjen på det mørke nettet og utbredt frykt blant brukerne. Det er uklart hvordan politiet har klart å spore opp markedene og bakmennene.

FBI og sikkerhetsdepartementet i USA har sendt ut en fellesrapport som opplyser om phishing-angrep rettet mot ansatte i atomkraftverkselskaper i USA, meldte nyhetsbyrået New York Times. Angrepene har holdt på siden mai, og har bestått av e-poster som inneholdt jobbsøknader knyttet til spesifikke stillinger innenfor atomkraftverkene.

Ofre for ransomware, eller løsepengevirus, har til sammen betalt ut over 25 millioner amerikanske dollar over de siste to årene, ifølge en studie gjennomført av forskere ved Google, Chainalaysis, UC San Diego og NYU Tandom School of Engineering. Funnene ble gjort ved å følge betalingene gjennom blockchain, og sammenligne dem med kjente transaksjoner. 95 prosent av pengene ble tatt ut via BTC-E, en markedsplass for Bitcoins som nå har blitt beslaglagt av amerikanske myndigheter.

Adobe kunngjorde denne måneden at de planlegger å legge ned Flash-teknologien, og vil fra og med 2020 ikke lenger utgi og distribuere oppdateringer til selskapets Flash Player. De oppfordrer alle til å migrere eksisterende Flash-innhold til andre åpne formater, som for eksempel HTML5, WebGL og WebAssembly.

President Putin har signert en ny lov som forbyr bruk av VPN-programvare, proxyer og andre teknikker for å skjule Internett-trafikk. Loven trer i kraft 1. november. Denne måneden fjernet også Apple VPN-apper fra App Store i Kina. Denne typen programvare kan brukes for å omgå sensuren i landet og har vært forbudt siden januar. Apple gir nå etter for den nye loven.

En hacker klarte å lure til seg rundt 7,4 millioner dollar i verdier i krypto-valutaen Ether, etter en Ethereum Initial Coin Offering (ICO). Angriperen tok kontroll over nettsiden til Coindash, som samlet inn penger til et prosjekt. Adressen hvor donasjonene skulle sendes til ble så endret, slik at donasjonene gikk til angriperens egen konto. Hackere utnyttet også denne måneden en svakhet i lommeboken Parity, brukt for å holde Ether. En svakhet rundt signaturer for å hente ut penger, gjorde at angripere klarte å stjele Ether til en verdi av 32 millioner dollar fra tre ICO-prosjekter.

Oppsummering av nyhetsbildet innen datasikkerhet for juni 2017

Denne måneden var det 112 alvorlige hendelser i forbindelse med vår tjeneste Sikkerhetsovervåking, en liten nedgang fra forrige måned. Hendelsene er typisk ansatte som blir lurt av phishing-sider, forskjellige typer uønsket programvare og også en del trojanere som f.eks. kan stjele bankopplysninger.

Det var 434 bekreftede DDoS-angrep i juni. 132 av disse ble mitigert. Et gjennomsnittlig angrep var på 2.38 Gbps og varte i 45 minutter. Det største angrepet observert i denne perioden var på 26.3 Gbps og varte 33 minutter. Flere av våre betalende kunder ble utsatt for angrep denne måneden.

Tirsdag 27. juni var det et større utbrudd av malware som rammet mange organisasjoner internasjonalt. Det dreide seg om en variant av løsepengeviruset Petya, og alle trodde også at dette var et løsepengevirus. Den initielle infeksjonsvektoren var en infisert oppdateringsmekanisme til den ukrainske programvaren M. E. Doc, som benyttes for å sende inn finansiell informasjon til myndighetene for skatteberegning. Når viruset først var på innsiden av nettverket, benyttet det seg av flere metoder for videre intern spredning. Det samlet inn brukernavn og passord fra minnet og benyttet vanlige Windows-verktøy for å fjernkjøre kommandoer. Petya-varianten benytter også svakheten Eternal Blue, den samme som ble benyttet av WannaCry-ormen. Infeksjonene startet i Ukraina, men spredde seg fort via interne nettverk i større internasjonale konsern. NorCERT meldte at et mindre antall bedrifter i Norge ble rammet, alle med internasjonale forbindelser.

To dager etter angrepet ble det klart at løsepengeviruset i virkeligheten var en såkalt “wiper”, altså programvare laget for å sabotere PCer ved å slette dataene. Malwaren oppgir en kode til brukeren, som skal sendes inn til bakmennene for å få dekryptert dataene. Koden viste seg imidlertid å være en tilfeldig rekke med tall og bokstaver. Målsettingen med angrepet var altså å gjøre størst mulig skade, ikke å tjene penger. Mange mistenker Russland for å stå bak også dette angrepet.

En underleverandør av Pentagon, Booz Allen, la 28 GB med data åpent tilgjengelig på Amazons skylagringstjenesten S3. I disse dataene var det større mengder med sensitiv informasjon, private SSH-nøkler og passord til flere statlige systemer i USA. Det er et utbredt problem at filer lagres åpent på skytjenester som Amazon S3 og Microsoft Azure. Brukerne er ofte ikke klar over at det ikke kreves autentisering for å få tilgang til filene.

Russland gjennomførte cyberangrep mot amerikansk leverandør av valgprogramvare og sendte spear-phishing e-post til mer enn 100 lokale valgtjenestemenn kun dager før forrige presidentvalg. Dette avsløres i en lekket rapport fra NSA, publisert av The Intercept. Personen som lekket NSA-rapporten, ble senere arrestert etter å ha sendt dokumentet til The Intercept. NSA fant ut at seks personer hadde skrevet ut dokumentet, og den arresterte var én av disse. The Intercept har heller ikke fjernet vannmerkene (gule prikker) i dokumentet. Ved hjelp av disse vannmerkene kan produsent av skriver, serienummer og dato for utskrift avsløres.

Sikkerhetsselskapet ESET og Dragos ga ut en detaljert analyse av skadevaren som tok ned deler av strømnettet i Ukraina i desember 2016. Aktørene plasserer skadevaren Industroyer/Crash Override i samme kategori som Stuxnet, siden den er det andre tilfellet av skadevare som er oppdaget, der målet er å forstyrre fysiske installasjoner. Skadevaren kan blant annet kommunisere med industrielle styringssystemer for kraftforsyning og slette harddisker.

I August 2016 mottok daværende president Barack Obama en beskjed fra CIA om at Russlands president, Vladimir Putin, var direkte involvert i en kampanje for å forstyrre USAs presidentvalg. Da det ble klart at Donald Trump vant presidentvalget, beordret Obama en grundig gjennomgang av Russlands faktiske innflytelse over USAs valgsystem, helt tilbake til 2008. Videre ble malware gjemt i viktige deler av Russlands nettverk som gjør det mulig for USA å forstyrre viktige Russiske systemer.

Firmaer som Cisco, IBM og SAP gjør kildekoden sin tilgjengelig for inspeksjon i Russland. Gjennomgangen blir gjort av russerne for å sjekke om det finnes bakdører eller feil i programvaren. Sikkerhetseksperter er bekymret for at inspeksjonene kan brukes til å finne feil i produktene som kan utnyttes i data-angrep.

onsdag 7. juni 2017

Oppsummering av nyhetsbildet innen datasikkerhet for mai 2017

I mai tok antallet alvorlige hendelser registrert via tjenesten Sikkerhetsovervåking seg kraftig opp igjen. Vi registrerte 120 hendelser, nesten en dobling fra april.

Det var 802 bekreftede DDoS-angrep i mai. 108 av disse ble mitigert. Et gjennomsnittlig angrep var på 1.12 Gbps og varte i 24 minutter. Det største angrepet observert i denne perioden var på 12.3 Gbps og varte 19 minutter.

Et større antall offentlige institusjoner og firmaer ble rammet av ransomwaren kalt WannaCry som spredde seg over hele verden. I Storbritannia ble blant annet mange sykehus rammet. I Norge var spredningen heldigvis liten, og det ble kun meldt om et fåtall smittede maskiner. Malwaren spredde seg som en orm fra maskin til maskin ved hjelp av en svakhet i fildelingsprotokollen SMB. Eldre versjoner av Windows uten siste oppdateringer ble rammet. Svakheten som ble utnyttet i angrepet var en del av en større lekkasjer fra NSA og hadde det interne navnet Eternal Blue. Grupperingen Shadow Brokers har siden sommeren 2016 sluppet interne data, og denne svakheten ble sluppet 14. april. NSA har informert Microsoft på et tidligere tidspunkt, siden en patch for den ble sluppet allerede 14. mars.

Ransomwaren WannaCry er forholdsvis amatørmessig laget, og mangler blant annet muligheten for å spore betalinger på en skikkelig måte. Flere mistenker at Nord Korea står bak, mye på grunn av gjenbruk av kode fra tidligere angrep utført av Lazarus Group, som er satt i sammenheng med Nord Korea. Andre mener at det mest sannsynlig dreier seg om et angrep utført av mindre dyktige cyberkriminelle med et økonomisk motiv. Etter hvert ble det utviklet et verktøy som kan dekryptere rammede maskiner, dersom maskinen enda ikke har blitt omstartet.

Det franske partiet "En marche!", ledet av Emmanuel Macron, ble utsatt for et hackerangrep kort tid før presidentvalget. Data som ble stjålet i angrepet inneholder informasjon fra e-postkontoer til en rekke av partiets medlemmer. Opp mot 9GB med data skal ha blitt delt via nettstedet Pastebin. Spor etter angrepet tyder på at den russiske hackergrupperingen APT28 står bak angrepet. Dette er den samme gruppen som ble mistenkt for hacking mot det amerikanske valget, og mange mistenker russiske sikkerhetstjenester for å stå bak. Gruppen registrerte domener med navn relatert til det franske partiet i mars, deriblant onedrive-en-marche.fr og mail-en-marche.fr. Medlemmer av Macron sitt kampanjeteam brukte falske e-postkontoer fylt med falsk informasjon for å hindre hackerne som angrep dem like før valget. Dette ble gjort for å forsinke angriperne, som dermed måtte prøve å skille mellom ekte og falske brukere. Angrepet ser ikke ut til å ha hatt noen vesentlig innvirkning på valget.

En rekke CPU-brikkesett utgitt av Intel de siste 9 årene lider av en sårbarhet som kan gi angriper tilgang til konsoll utenfra mot den sårbare maskinen. Ettersom tilgangen skjer på hardware-nivå, kan det være mulig å installere skadevare som ikke kan oppdages av operativsystemet. Sårbarheten berører systemer der man har aktivert Active Management Technology (AMT), Standard Manageability (ISM) eller Small Business Technology (SBT). Intel har utgitt patcher som tetter sårbarhetene. Sårbarheten rammer spesielt servere, og angripere kan logge inn på disse uten å autentisere seg.

Samsung Galaxy S8 er den første flaggskip-telefonen som bruker biometrisk iris-verifikasjon for autentisering av brukere. I mai kom det fram at iris-skanneren i S8 enkelt kan bli lurt av et bilde av en person tatt med et digitalkamera med nattmodus. Det var hackere hos hos Chaos Computer Club (CCC) som kom med avsløringen. Samsung bruker iris for autentisering i deres betalingsløsning Samsung Pay og det er også ventet at iris-skanning kommer til å bli brukt til å aksessere mange andre systemer i nær fremtid, eks flyplasser, telefoner, IoT-enheter og betalingsløsninger. En talsmann fra CCC sier at den tradisjonelle PIN-koden fortsatt er sikrere.

 
>