Oppsummering av nyhetsbildet for februar 2015

Antallet håndterte alvorlige hendelser hos TSOC i forbindelse med sikkerhetsovervåking gikk videre ned i februar. Denne måneden håndterte vi 143 hendelser, mot 237 i januar.

Antall håndterte DDoS-angrep gikk også noe ned fra 221 i januar til 102 i februar. Fortsatt er det mange SSDP-angrep mot port 80. I det siste har også DNS-reflection angrep sett et oppsving. Fire av våre kunder på DDoS-beskyttelse ble angrepet denne måneden og angrepene ble stanset.

I følge dokumenter som er lekket av Edward Snowden, skal NSA/GCHQ ha hacket den største produsenten av SIM-kort, nederlandske Gemalto, og stjålet krypteringsnøkler som blir brukt for å kryptere kommunikasjonen i mobilnett. Det skal ha gitt NSA&GCHQ muligheten til å overvåke store deler av verdens mobilkommunikasjon. Gemalto bekreftet etter hvert at det hadde vært et avansert innbrudd i nettet deres, men at dette begrenset seg til kontornettet og at produksjonsnettverket var uberørt. Gemalto opplyste at store mengder nøkler til SIM-kort umulig kunne ha blitt stjålet av noen. Telenor Norge har uansett ingen leveranse av SIM-kort fra Gemalto, så dette rammer ikke våre kunder.

Denne måneden ble det avslørt at Lenovo har installert adware kalt "SuperFish" på mange av sine nye PCer. Dette programmet analyserer nettstedene du besøker for å presentere annonser. Også sider som normalt er beskyttet av kryptering (SSL) blir analysert ved at trafikken blir sendt gjennom en såkalt lokal proxy. Denne proxyen generer falske sertifikater for SSL-sikrede nettsteder automatisk og signerer dette med sin egen private nøkkel. Den private nøkkelen med tilhørende passord var imidlertid lett å hente ut fra SuperFish-programmet. Dette førte til at privat kommunikasjon som e-post og nettbank-trafikk enkelt kunne snappes opp av uvedkommende. Lenovo har publisert programvare for å fjerne og rydde opp etter programmet. De har også lovet å installere mindre adware i PCer fra nå av. Telenor SOC oppdaget SuperFish på flere av våre kunders PCer. Senere i måneden ble det også avslørt 14 andre programmer med lignende funksjonalitet som SuperFish.

I begynnelsen av måneden ble det rapportert om nok en 0-dags svakhet i Flash Player. Svakheten ble allerede utnyttet aktivt i exploit-kits til å kompromittere sårbare maskiner. Adobe begynte å sende ut patcher via auto-oppdatering allerede dagen etterpå og ga kort tid etter ut nye versjoner til alle plattformer.

Forbes er et amerikansk nyhetsmagasin med fokus på finans, industri, økonomi og markedsføring. Denne måneden ble det avslørt at kinesiske hackere i fjor skal ha kompromittert nettsidene til Forbes. De endret så nettsidene slik at besøkende fra amerikansk forsvar og finans ble videresendt til en nettside med exploit kit. Det ble brukt såkalte nulldags svakheter i både Internet Explorer og Adobe Flash for å utføre angrepet som er av typen vannhullsangrep.

En sofistikert hackergruppe ble i februar dokumentert av Kaspersky Labs. De har valgt å kalle gruppen "The Equation Group". Mange mener at grupperingen egentlig er NSA, basert på likheter med tidligere lekket materiale. Gruppen, som har greid å holde seg skjult i omtrent 14 år, har utviklet flere forskjellige verktøy for å stjele informasjon fra deres ofre. Disse verktøyene er svært avanserte og kan infisere maskiner uten å bli oppdaget. Et eksempel på et av deres avanserte verktøy er muligheten til å gjemme malware i firmwaren til harddisker. Dette gjør at en malware-infeksjon kan overleve en vanlig sletting av harddisken. Dette har fungert mot harddisker til tolv forskjellige harddisk-produsenter, og tyder på tilgang til kildekoden for firmwaren.

Hackere skal ha infiltrert over 100 banker i 30 land i en operasjon for å stjele penger ifølge Kaspersky. Via PC-er infisert med Carbanak-malware i bankenes nettverk iverksatte de overføringer av penger til egne kontoer og utbetaling av kontanter fra minibanker til gitte tidspunkter. Angriperne skal ha fått med seg over 300 millioner dollar.