Oppsummering av nyhetsbildet innen datasikkerhet for september 2016

Antall hendelser rapportert i forbindelse med sikkerhetsovervåking økte videre i september. Denne måneden ble det registrert 267 alvorlige hendelser, mot 134 i august. Det er mange tilfeller av browser-hijackere, altså at browseren får installert tillegg som serverer annonser, sladrer om hvilke nettsider som besøkes osv. Vi ser også tilfeller av trojanere som gjør alt fra å stjele sensitiv informasjon fra maskinen til å endre DNS-innstillingene. 95 DDoS-angrep ble håndtert i september, opp fra 85 i august. Det ble totalt registrert 600 angrep. Det største angrepet i perioden var på 14Gbps og varte i 26 minutter. Et gjennomsnittlig angrep var på 1.44Gbps. WADA (World Anti-Doping Agency) ble utsatt for et datainnbrudd gjennom august og september. Spor fra innbruddet pekte mot at en russisk trusselaktør kjent som APT28/Fancy Bear stod bak. Hackerne offentliggjorde legejournaler til en rekke toppidrettsutøvere. Det antas at angriperne har fått tilgang til WADAs administrasjons- og databasesystem "ADAMS" via en Rio-OL relatert IOC-brukerkonto. Angrepsvektor er trolig, som vanlig i slik saker, spear-phishing. WADA opplyser at de nå skal gjøre autentiseringen til systemet mer sikrere. I de siste ukene har det vært gjentatte tilfeller med lekkasjer av intern informasjon etter hacker-angrep. Blant de rammede er det demokratiske partiet i USA, valgkretser i USA, Colin Powell og antidopingbyrået WADA. Mange mistenker at det er Russland som står bak innbruddene og at lekkasjene brukes for å svekke tilliten til og blottlegge dem som blir rammet. Tidligere har slik stjålet informasjon for det meste blitt brukt i det stille til spionasje. Yahoo meldte at de i 2014 ble offer for et angrep hvor informasjon om 500 millioner bruker-kontoer havnet på avveie. Yahoo opplyste at angriperne skulle være sponset av statlige aktører, noe flere eksperter siden har stilt spørsmål ved. Informasjonen som er havnet på avveie er navn, mail-adresse, telefonnummer, fødselsdato og hashet passord. For noen kontoer er det også mistet ukrypterte sikkerhetsspørsmål og svar. Bloggen KrebsonSecurity publiserte en artikkel om DDOS-tjenesten vDOS. Artikkelen var blant annet basert på en lekket database som Krebs hadde fått tak i. Personene bak tjenesten skal ha tjent minst 618 000 USD i løpet av to år. I løpet av en periode på 4 måneder utførte tjenesten angrep som til sammen utgjør 8.8 år, slik at tjenesten til enhver tid har stått for flere pågående angrep. Noen dager etter bloggposten, ble to unge menn arrestert i Israel mistenkt for å stå bak tjenesten. I dagene etter arrestasjonen ble bloggen utsatt for et uvanlig stort DDoS-angrep. Bloggen fikk gratis DDoS-beskyttelse fra Akamai, men Akamai sa på kort varsel opp kundeforholdet med bloggen. Angrepet var på det meste oppe i 620Gbps og ble generert ved hjelp av infiserte IoT (Internet of Things)-enheter som kameraer og TV-bokser. Googles Project Shield tok etter kort tid over hosting av bloggen og den er nå tilgjengelig igjen. Krebs har etter skrevet om viktigheten av å få på plass filtrering av utgående spoofet trafikk fra ISPer, gjennom å implementere standarden BCP38. Tidligere i år satte Forsvarsdepartementet ned et utvalg som skulle vurdere om E-tjenesten skulle få mulighet til å overvåke Internett-trafikk som går ut og inn av Norge. I september kom innstillingen fra utvalget, og de går inn for å tillate denne typen overvåking. Forsvarsdepartementet skal nå vurdere om dette forslaget skal tas til Stortinget. Målet med overvåkningen er å forhindre terror- og cyberangrep mot Norge. Dagbladet melder at Høyesterett har fastslått at politiet ikke kan tvinge en person til å bruke fingeren for å åpne telefonen via fingeravtrykkleser. Politiet har prøvd å bruke paragraf 157 som går på kroppslig undersøkelse, der Politiet kan bruke tvang. Høyesterett har bestemt at denne paragrafen ikke er gyldig i denne sammenhengen. Ny forskning tyder på at det kan være relativt enkelt å ta ned nødnummer-tjenester ved å overøse dem med falske oppringninger. Med kontroll over 6000 smarttelefoner, kan 911-nummeret tas ned i én amerikansk delstat. Dette kan f.eks. gjøres ved å lure brukere til å installere en app som har skjult funksjonalitet i form av å ringe nødnummeret automatisk på kommando. En større aktør kan også kjøpe mobilene selv, og fjerne IMEI- og IMSI-nummer for å gjøre blokkering vanskeligere.