Oppsummering av nyhetsbildet innen datasikkerhet for februar 2017

Alvorlige hendelser registrert ved hjelp av vår tjeneste Sikkerhetsovervåking tok seg opp igjen i februar. Det ble registrert 153 hendelser, mot 120 i januar. Fra den andre uken i februar og ut måneden har det vært stor spredning av ransomware/løsepengevirus av typen Torrentlocker i Norge. E-postene har kommet i bølger med stadig nye avsender-adresser, emnefelt og innhold. Noen av e-postene har også gitt seg ut for å være fakturaer fra Telenor. Teknikken for å spre malwaren har også endret seg jevnlig, f.eks. har det vært brukt fil-vedlegg til e-posten, linker til nedlasting via Dropbox og Word-filer med makroer. Vær forsiktig med å følge lenker og åpne vedlegg i e-poster! Skru aldri på kjøring av makroer i Office-filer lastet ned fra nettet.

I februar var det 335 registrerte DDoS-angrep i vårt nett, mot 488 i januar. Et gjennomsnittlig angrep var på like under 1Gbps og varte i 45 minutter. Månedens største angrep var på 16Gbps og varte i 18 minutter.

Både PST og E-tjenesten slapp sine trusselvurderinger for 2017 denne måneden. PST mener at spionasje er den største langsiktige trusselen mot Norge. De nevner Russland og Kina som spesielt aktive. Begge land har ifølge PST forsøkt å kompromittere datasystemer hos virksomheter som forvalter «grunnleggende nasjonale verdier og store kommersielle interesser». E-tjenesten oppsummerer truslene mot det digitale rom på følgende måte: “Truslene [...] er økende. Vi kan forvente omfattende etterretningsoperasjoner mot Norge i året som kommer. Russland gjennomførte omfattende digitale operasjoner for å påvirke valgkampen i USA, og en kan ikke se bort ifra at fremmede makter også kan forsøke å påvirke valget på ulike måter her i Norge og andre steder i Europa i 2017.”

NRK avslørte at Nødnettet i lengre tid ha vært driftet fra India, av indiske IT-arbeidere som ikke er sikkerhetsklarert. Operatøren Broadnet forklarte at det dreier seg om en underleverandør som fikk feil tilganger. Etter avsløringen har NSM startet tilsyn og PST har startet etterforskning.

VG sjekket 1500 e-postadresser tilhørende politikere, regjeringsmedlemmer og departementer opp mot større passord-lekkasjer fra de siste årene. De har blant annet brukt tjenester som "Have I been pwned?" og rådata fra lekkasjene. De lekkede dataene er i flere tilfeller noen år gamle og stammer fra store tjenester som LinkedIn, Dropbox, Yahoo osv. Det viser seg at berørte brukere ofte ikke har blitt varslet av sine sikkerhetsavdelinger. Det er også mye sammenblanding av private og jobbrelaterte e-postadresser.

Microsoft utsatte denne måneden sin tradisjonelle patche-tirsdag. I siste øyeblikk ble det oppdaget en feil som gjorde at oppdateringene ble utsatt til neste måned. Noen dager etter at patchene skulle ha blitt utgitt, slapp Google detaljer om én av dem. Dette gjaldt en minnehåndterings-feil i Windows sitt system for grafikkhåndtering. Detaljer rundt svakheten ble sluppet automatisk 90 dager etter at Microsoft fikk beskjed om den, i henhold til Googles rutiner for frislipp av informasjon om sårbarheter.

17. februar oppdaget sikkerhetsforskeren Tavis Omandy at Cloudflare har hatt en bug i den spesialskrevne programvaren for proxy-serverne sine. Dette har ført til at tilfeldig minne fra serveren har blitt sendt med i svar på HTTP-forespørsler. Heldigvis har dette bare skjedd i en forsvinnende liten andel av forespørslene. Svakheten ble også fikset i løpet av få timer. I ettertid har det kommet fram at private data har blitt lekket i form av cookies, men at svært få  eller ingen har fått eksponert data som passord, kredittkort-info osv. Det er heller ingenting som tyder på at svakheten ble utnyttet før den ble patchet.

Google presenterte denne måneden en teknikk som gjør det langt lettere å finne kollisjoner mellom SHA-1 hasher. En hash-algoritme har som eneste egenskap å lage unike fingeravtrykk (hasher) for ulike filer. Google har imidlertid publisert et eksempel der to ulike filer generer samme fingeravtrykk og skaper en kollisjon. Det har lenge vært kjent at SHA-1-algoritmen var i ferd med å gå ut på dato, og dette var beviset. Det anbefales å gå over til sikrere algoritmer som SHA-256. For å utnytte svakheten må en imidlertid ha kontroll på begge filene som det skal lages en hash-kollisjon mellom. Selv om den nye svakheten gjør det enklere å finne hash-kollisjoner, kreves det fortsatt regnekraft for over $500.000.

Firmaet CyberX rapporterte om en målrettet avlyttingsoperasjon mot organisasjoner i Ukraina, tilknyttet blant annet presse, forskning, menneskerettigheter og olje/gass. Trusselaktøren benyttet skadevare levert via Office-makroer i phishing-eposter, lyttet på samtaler via PC-ens innebygde mikrofon og eksfiltrerte dataene via Dropbox. Dette har gitt operasjonen navnet BugDrop. Denne saken viser at det for firmaer ofte ikke er nok å bare dekke til kameraet på en PC for å forhindre at uvedkommende følger med.