Oppsummering av nyhetsbildet april 2013

I Finanstilsynets årlige risiko- og sårbarhetsanalyse knyttet til IT i finanssektoren, kom det fram at bankenes tap som følge av nettbanksvindel økte fra 664.000 kroner i 2011 til litt over 5 millioner i 2012. Mobile enheter blir foreløpig ikke angrepet, men tilsynet ser for seg en økning på dette området i framtiden.

Nettsteder basert på Wordpress og Joomla ble i april systematisk scannet og utsatt for angrepsforsøk ved å gjette tusenvis av brukernavn og passord for innlogging. Angrepet utføres av et botnett bygget opp av infiserte PCer. Hensikten ser ut til å være å bygge et serverbasert botnett, med stor båndbredde for bruk i større DDoS-angrep.

U.S. Air Force utpekte i april seks programvareprosjekter som cyber-våpen for å styrke satsingen på dette domenet i kampen om finansielle midler. Det jobbes også med å integrere disse kapabilitetene med andre våpen. Videre er det planer for å ruste opp med 1200 nye ansatte.

Medio april slapp Oracle en ny versjon av Java som utbedret 42 svakheter, hvorav hele 39 kunne utnyttes til å ta kontroll over en sårbar maskin. En av svakhetene som ble utbedret av oppdateringen, ble utnyttet allerede åtte dager senere. Den nye versjonen av Java har utvidede sikkerhetsadvarsler for å prøve å hindre brukere i å bli infisert, men det har allerede blitt publisert eksempler på hvordan disse kan omgås under et angrep. Sårbarheter i Java er fortsatt de vi ser bli utnyttet mest blant våre kunder.

Twitterkontoen til The Associated Press ble hacket mot slutten av måneden. Kontoen la ut en melding om eksplosjoner i det hvite hus og at presidenten hadde blitt skadet. Dette førte til at aksjeindeksen Dow Jones raskt falt med 130 poeng. Aksjekursene stabiliserte seg raskt igjen etter at det ble klart at meldingen var falsk. Twitter har opplyst at de jobber med å implementere to-faktor-autentisering, slik f.eks. Facebook har muligheten for.

BankID-prosjektet presenterte planene for BankID 2.0 uten bruk av Java. Den nye løsningen skal benytte HTML5 og CSS3, som er innebygget i alle moderne nettlesere. Det er uklart når den nye løsningen blir ferdig.

En bakdør kalt Linux/Cdorked.A har dukket opp på tusenvis av Apache web-servere. Bakdøren sørger for å videresende besøkende til exploit-kittet Blackhole, som så forsøker å kompromittere maskinene. Bakdøren er vanskelig å oppdage i filsystemet og kan fjernstyres ved hjelp av krypterte kommandoer, som ikke blir logget av web-serveren. Det er sannsynlig at angriperne får tilgang til web-serverne gjennom brute-force gjetting av admin-passord via SSH, men også andre angrepsvektorer benyttes. På TSOC ser vi stadig mindre og mellomstore norske nettsteder bli kompromittert. I flere tilfeller har det vært vanskelig å overbevise de ansvarlige for nettsidene om at besøkende til deres nettsider blir infisert.

Både DNB og danske NemID ble utsatt for DDoS-angrep i løpet av måneden. Angrepet mot NemID ble angivelig kjøpt for $10 for å vise hvor billig og lett det er å utføre denne typen angrep. Vi oppdager og bekjemper ukentlig flere DDoS-angrep for våre kunder og størrelsen er økende.

Lederen for Carberp-botnettet, som stjal millioner fra bankkontoer over hele verden, ble arrestert sammen med 20 medhjelpere av rusissk og ukrainsk politi. Skaperen av Phoenix-exploitkittet ble også arrestert i Russland, tiltalt for å ha spredt skadelig programvare og besittelse av ulovelige skytevåpen. Den britiske hackeren Ryan Ackroyd innrømmet i retten at han er var del av hackergruppen Lulzsec, som sto bak tjenestenektangrep mot en rekke organisasjoner. Spansk politi arresterte nederlenderen Sven Kamphuis, mistenkt for å stå bak det store DDoS-angrepet mot Spamhaus sist måned.